Af Eskil Sørensen, 26/10/23
VMware har udgivet en sikkerhedsopdatering, der adresserer en kritisk fejl i vCenter-serveren. Det skriver The Hacker News.
Sårbarheden har id’et CVE-2023-34048 og en CVSS-score på 9,8. Der er tale om en ’out-of-bounds write’-sårbarhed i implementeringen af DCE/RPC-protokollen. VMware skriver i sin advisory, at sårbarheden kan gøre det muligt for en ondsindet aktør med netværksadgang til vCenter Server at fjernafvikle kode.
De berørte systemer er
- VMware vCenter Server 8.0 (8.0U1d eller 8.0U2)
- VMware vCenter Server 7.0 (7.0U3o)
- VMware Cloud Foundation 5.x og 4.x
Det fremgår af The Hacker News, at VMware også gør en patch tilgængelig til vCenter Server 6.7U3, 6.5U3 og VCF 3.x.
Der er ikke kendskab til udnyttelse in-the-wild, men kunderne anbefales at anvende opdateringen så hurtigt som muligt for at afbøde eventuelle potentielle trusler.
En 'out of bounds write'-sårbarhed er en softwarefejl, der gør det muligt at lave ændringer af app- eller systemdata, særligt hvor det ikke er tilladt. Virkningen af sådan en sårbarhed kan være ødelæggelse af data eller fx app-nedbrud. 'Out of bounds' er et udtryk, der også kendes fra golfsporten, hvis en bolden havner uden for banen.
Links:
https://www.vmware.com/security/advisories/VMSA-2023-0023.html
https://thehackernews.com/2023/10/act-now-vmware-releases-patch-for.html