VMware wydało łaty na cztery luki w swoim produkcie vRealize Log Insight, z których dwie mają krytyczny stopień ważności.
Krytyczna para to CVE-2022-31703 i CVE-2022-31704. Pierwsza z nich to luka polegająca na przemieszczaniu katalogów, natomiast druga to luka polegająca na złamaniu kontroli dostępu. Obie otrzymały ocenę 9.8 dotkliwości w skali do 10 i obie pozwalają aktorom zagrożeń na dostęp do zasobów, które w innym przypadku powinny być niedostępne.
“Nieuwierzytelniony, użytkownik (haker) może wstrzyknąć pliki do systemu operacyjnego zaatakowanego urządzenia, co może skutkować zdalnym wykonaniem kodu” – wyjaśnia VMware.
Pozostałe dwie luki to CVE-2022-31710 i CVE-2022-31711. Pierwsza z nich to luka w deserializacji, która pozwala na manipulowanie danymi i przeprowadzanie ataków denial-of-service. Otrzymała ona ocenę 7,5 stopnia dotkliwości. Druga z nich to błąd ujawniający informacje z oceną 5.3, który może zostać wykorzystany do kradzieży wrażliwych danych.
Aby zabezpieczyć się przed lukami, użytkownicy powinni natychmiast zastosować poprawki i zaktualizować swoje punkty końcowe do wersji 8.10.2. Ci, którzy nie mogą zastosować łatki już teraz, mogą również zastosować obejście, którego instrukcję można znaleźć tutaj.
Luki zostały pierwotnie odkryte przez Zero Day Initiative, publikacja potwierdziła. Członkowie programu powiedzieli, że do tej pory nie ma dowodów na to, że wady są nadużywane przez środowisko cyberprzestępców.
“Nie jesteśmy świadomi żadnego publicznego kodu exploita ani aktywnych ataków wykorzystujących tę lukę” – powiedział Dustin Childs, szef działu świadomości zagrożeń w ZDI firmy Trend Micro. “Chociaż nie mamy obecnie planów opublikowania proof of concept dla tego błędu, nasze badania w VMware i innych technologiach wirtualizacji są kontynuowane”.
vRealize Log Insight to narzędzie do zarządzania logami. Chociaż nie jest tak popularne jak niektóre inne rozwiązania VMware, obecność firmy zarówno w sektorze publicznym, jak i prywatnym najprawdopodobniej czyni wszystkie jej produkty atrakcyjnym celem dla cyberprzestępców szukających luk.
