Нет повода не обновиться. В vCenter вышел патч с исправлением двух уязвимостей безопасности:
- CVE-2024-38812 — CVSSv3 9.8
- CVE-2024-38813 — CVSSv3 7.5
Уязвимые продукты:
- VMware vCenter Server
- VMware Cloud Foundation
https://blogs.vmware.com/cloud-foundation/2024/09/17/vmsa-2024-0019-questions-answers/
Для устранения уязвимостей потребуется обновление. Компенсирующих мер не предусмотрено.
15 апреля 2024 г. компания Broadcom объявила в своем блоге, что все клиенты, в том числе те, у кого истек срок действия контрактов на поддержку, будут иметь доступ ко всем критическим исправлениям для поддерживаемых версий VMware vSphere (7.x и 8.x).
https://knowledge.broadcom.com/external/article?articleNumber=314603
CVE-2024-38812
Уязвимость переполнения кучи. Center Server содержит уязвимость переполнения кучи в реализации протокола DCERPC. Компания VMware оценила серьезность этой проблемы в критичном диапазоне с максимальным базовым баллом CVSSv3 9.8.
Злоумышленник с сетевым доступом к серверу vCenter может воспользоваться уязвимостью, отправив специально созданный сетевой пакет, что может привести к удаленному выполнению кода (RCE).
CVE-2024-38813
vCenter Server содержит уязвимость, связанную с повышением привилегий. Компания VMware оценила серьезность этой проблемы в диапазоне критичности "Важно" с максимальным базовым баллом CVSSv3 7.5.
Злоумышленник с сетевым доступом к серверу vCenter может воспользоваться уязвимостью для повышения привилегий до root, отправив специально созданный сетевой пакет.
