VMware wydało uaktualnioną poprawkę do krytycznej luki zdalnego wykonywania kodu w swoich produktach hiperwizora ESXi.
Wednesday’s advisory VMware powiedział, że uaktualnione wersje poprawek są dostępne po tym, jak odkryto, że poprzednia poprawka, wydana 20 października, nie w pełni rozwiązała problem luki. To dlatego, że niektóre wersje, których dotyczyła luka, nie były objęte wcześniejszą aktualizacją.
„Zaktualizowane wersje poprawek w macierzy odpowiedzi w sekcji 3a po wydaniu poprawek ESXi, które uzupełniły niekompletną poprawkę dla CVE-2020-3992 w dniu 2020-11-04,” powiedział zaktualizowane doradztwo Oracle.
Usterka występuje w funkcji OpenSLP w VMware ESXi. ESXi jest hiperwizorem, który wykorzystuje oprogramowanie do abstrakcji procesora, pamięci, pamięci masowej i zasobów sieciowych w wielu maszynach wirtualnych (VM). Każda maszyna wirtualna uruchamia swój własny system operacyjny i aplikacje. OpenSLP jest natomiast otwartą standardową technologią, która pozwala systemom na odkrywanie usług dostępnych do wykorzystania w sieci.
Według VMware implementacja OpenSLP w ESXi posiada błąd typu use-after-free (UAF). Błędy UAF związane są z nieprawidłowym wykorzystaniem pamięci dynamicznej podczas działania programu; jeśli program nie wyczyści wskaźnika do pamięci po zwolnieniu miejsca w pamięci, atakujący może wykorzystać tę dziurę.
W przypadku tej konkretnej dziury, „złośliwy aktor rezydujący w sieci zarządzania, który ma dostęp do portu 427 na maszynie ESXi może być w stanie wywołać błąd use-after-free w usłudze OpenSLP, co skutkuje zdalnym wykonaniem kodu” – czytamy w komunikacie. Dalsze szczegóły na temat dziury nie są jeszcze dostępne.
Usterka (CVE-2020-3992) ma wynik CVSS 9.8 na 10, co czyni ją krytyczną.
Przedtem komunikat mówił, że dziura dotyczy ESXi w wersjach 6.5, 6.7 i 7.0; dotknięte nią produkty zostały teraz zaktualizowane, aby uwzględnić implementacje ESXi na VMware Cloud Foundation 3.x i 4.x. VMware Cloud Foundation to platforma chmury hybrydowej do zarządzania maszynami wirtualnymi i orkiestracji kontenerów, zbudowana na technologii full-stack hyperconverged infrastructure (HCI). Oprogramowanie ESXi może być zainstalowane na serwerach Cloud Foundation.
Podczas gdy użytkownicy ESXi mogą zaktualizować do poprawionych wersji ESXi70U1a-17119627 (dla wersji 7), ESXi670-202011301-SG (dla wersji 6.7) i ESXi650-202011401-SG (dla wersji 6.5), łata jest nadal „w toku” dla dotkniętych wersji VMware Cloud Foundation.
Lucas Leong (@_wmliang_) z Trend Micro’s Zero Day Initiative został uznany za osobę, która zgłosiła dziurę. Threatpost skontaktował się z Leongiem w celu uzyskania dalszych komentarzy.
Październikowa aktualizacja VMware wydała również poprawki do ważnych błędów (CVE-2020-3993, CVE-2020-3994, CVE-2020-3995 i CVE-2020-3981), a także do luki o umiarkowanej ważności (CVE-2020-3982).
Na początku tego roku w usłudze katalogowej VMware (vmdir) ujawniono krytyczny błąd ujawniający informacje. Wykorzystanie tej luki mogłoby doprowadzić do ujawnienia zawartości całych korporacyjnych infrastruktur wirtualnych.
Hakerzy namierzają służbę zdrowia: 18 listopada o godz. 14:00 EDT dowiedz się, dlaczego szpitale są atakowane przez ransomware w 2020 roku. Zarezerwuj sobie miejsce na BEZPŁATNY webinar dotyczący priorytetów cyberbezpieczeństwa w służbie zdrowia i dowiedz się od czołowych przedstawicieli świata bezpieczeństwa, jak bezpieczeństwo danych, ransomware i łatanie powinny być priorytetem dla każdego sektora i dlaczego. Dołącz do nas w środę 18 listopada o godz. 14.00 EDT, aby wziąć udział w tym ograniczonym webinarium na żywo.