VMware пропатчила критическую RCE-уязвимость в Cloud Foundation

Вчера VMware выпустила обновление безопасности, в котором была исправлена критическая уязвимость в VMware Cloud Foundation, гибридной облачной платформе для запуска корпоративных приложений в частных или публичных средах.

Уязвимость под идентификатором CVE-2021-39144 находится в библиотеке с открытым исходным кодом XStream, используемой Cloud Foundation, и имеет оценку 9,8 из 10 по шкале CVSS. Ей могут воспользоваться неавторизованные хакеры в ходе несложных атак, не требующих взаимодействия с пользователем.

В сообщении компании говорится, что злоумышленник может выполнить произвольный код с правами администратора из-за неаутентифицированной конечной точки, использующей XStream для сериализации ввода в VMware Cloud Foundation. Так как брешь в защите достаточно серьезная, VMware также выпустила исправления безопасности для продуктов с истекшим сроком эксплуатации.

Одним из решений проблемы стало обновление XStream до версии 1.4.19, в которой CVE-2021-39144 уже устранена. По мнению специалистов, это должно защитить непропатченные серверы.

В том же обновлении безопасности была исправлена другая уязвимость, получившая идентификатор CVE-2022-31678. Её эксплуатация злоумышленником может вызвать отказ в обслуживании или раскрыть личную информацию жертвы после успешной XEE-атаки.

Помимо установки патча доступен обходной путь – системные администраторы должны войти в каждую виртуальную машину NSX-менеджера SDDC в среде Cloud Foundation. После этого они должны установить свежий патч NSX для vSphere, который обновляет библиотеку XStream до версии 1.4.19, что закроет брешь в защите.