Vo VMware vRealize Business for Cloud sa vyskytuje kritická zraniteľnosť

20. mája 2021

Spoločnosť VMware opravila kritickú zraniteľnosť vyskytujúcu sa v produkte vRealize Business for Cloud. Zneužitím tejto chyby môže dôjsť k vzdialenému vykonaniu kódu neautentifikovaným útočníkom.

Dôsledky

Vzdialené vykonanie ľubovoľného kódu

Opis činnosti
CVE-2021-21984 (CVSS 9,8)

V produkte VMware vRealize Business for Cloud sa vyskytuje kritická zraniteľnosť CVE-2021-21984 s CVSS skóre 9,8. Týka sa verzií nižších ako 7.6.0. Zraniteľnosť objavil a nahlásil výskumník spoločnosti Positive Technologies Egor Dimitrenko.

Zraniteľnosť umožňuje neautentifikovaným vzdialeným útočníkom vykonávať kód na zraniteľných serveroch. Útočníci môžu túto chybu zneužiť použitím API určeného na aktualizáciu rozhrania na správu (VAMI), aby získali prístup k zraniteľným virtuálnym prostrediam. Na zneužitie nie je potrebná žiadna interakcia používateľa ani autentifikácia.

Spoločnosť vydala opravnú aktualizáciu, avšak pred jej nainštalovaním odporúča urobiť snímky virtuálnych strojov.

Zraniteľné systémy

VMware vRealize Business for Cloud verzie nižšej ako 7.6.0

Závažnosť zraniteľnosti
Vysoká

Možné škody
Vzdialené vykonávanie kódu

Odporúčania

Odporúčame bezodkladne nainštalovať najnovšiu dostupnú aktualizáciu. Pred jej samotnou inštaláciou odporúčame spraviť zálohy (snímky) virtuálnych strojov. Na aplikovanie aktualizácie sa riaďte pokynmi na tejto stránke.

Odkazy
https://www.vmware.com/security/advisories/VMSA-2021-0007.html
https://kb.vmware.com/s/article/83475
https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-rce-bug-in-vrealize-business-for-cloud/
https://www.securityweek.com/vmware-patches-critical-flaw-reported-sanctioned-russian-security-firm
https://thehackernews.com/2021/05/critical-flaws-hit-cisco-sd-wan-vmanage.html