Критическая уязвимость VMware vCenter Server и VMware Cloud Foundation, уязвимы все версии. VMware выпускает патчи:
- VMware vCenter Server 8.0: 8.0U2
- VMware vCenter Server 7.0: 7.0U3o
- VMware Cloud Foundation (VMware vCenter Server) 5.x, 4.x: KB88287
Из-за серьёзности уязвимости вышли патчи даже для неподдерживаемых версий:
- VMware vCenter Server 6.7: 6.7U3
- VMware vCenter Server 6.5: 6.5U3
- VMware Cloud Foundation (VMware vCenter Server) 3.x: VCF
- VMware vCenter Server 8.0U1 патч
Компенсационных мер нет, только патчить.
Патч устраняет сразу две уязвимости:
- CVE-2023-34048 (9.8 баллов CVSSv3) — вызов записи за пределами границ и удалённое выполнение кода
- CVE-2023-34056 (4.3 балла CVSSv3) — частичное раскрытие информации
О патчах сообщили Григорий Дороднов из Trend Micro Zero Day Initiative и Олег Мошков из Deiteriy Lab OÜ.
Конкретные сетевые порты, задействованные в этой уязвимости, — 2012/tcp, 2014/tcp и 2020/tcp.
Ссылки
https://www.vmware.com/security/advisories/VMSA-2023-0023.html
