В VMware раскрыли информацию о критическом обходе аутентификации VCD Appliance без патча

Команда компании VMware раскрыла информацию о критической и неисправленной уязвимости обхода аутентификации, влияющей на развертывание устройства Cloud Director.

В VMware раскрыли информацию о критическом обходе аутентификации VCD Appliance без патча. Фото: СС0

Cloud Director позволяет администраторам VMware управлять облачными службами своих организаций в рамках виртуальных центров обработки данных (VDC).

Уязвимость обхода аутентификации затрагивает только устройства под управлением VCD Appliance 10.5, которые ранее были обновлены со старой версии. Компания также добавила, что CVE-2023-34060 не влияет на новые установки VCD Appliance 10.5, развертывания Linux и другие устройства.

Злоумышленники, не прошедшие проверку подлинности, могут удаленно использовать эту ошибку в атаках низкой сложности, не требующих взаимодействия с пользователем.

Из сообщения компании:

«В обновленной версии VMware Cloud Director Appliance 10.5 злоумышленник, имеющий сетевой доступ к устройству, может обойти ограничения входа в систему при аутентификации на порту 22 (ssh) или порту 5480 (консоль управления устройством). Этот обход отсутствует на порту 443 (поставщик VCD и вход клиента). При новой установке VMware Cloud Director Appliance 10.5 обход отсутствует.»

Хотя у VMware нет исправления для этого критического обхода аутентификации, компания предоставила администраторам временное решение до тех пор, пока не будут выпущены обновления безопасности.

Обходной путь, предложенный VMware, будет работать только для затронутых версий VCD Appliance 10.5.0 и требует загрузки специального сценария, прикрепленного к этой статье базы знаний, и запуска его на ячейках, подверженных уязвимости CVE-2023-34060.

По данным VMware, обходной путь не вызывает каких-либо функциональных сбоев, поскольку ни перезапуск службы, ни перезагрузка не требуются.

Startpack подготовил список продуктов, которые помогают защитить IT-активы компании от заражения зловредами. Список содержит продукты российских и зарубежных разработчиков. Помимо защиты от вирусов, решения позволяют хранить и управлять паролями, разворачивать антиспам-системы, проводить резервное копирование данных, защищать не только персональные компьютеры, но и серверы, а также локальные сети предприятия.

Статьи по теме