Múltiples vulnerabilidades en productos VMware
Fecha de publicación 22/02/2023
Identificador
INCIBE-2023-0068
Importancia
5 - Crítica
Recursos Afectados
- Carbon Black App Control, versiones:
- 8.9.x;
- 8.8.x;
- 8.7.x.
- vRealize Orchestrator, versiones 8.x.
- vRealize Automation, versiones 8.x.
- Cloud Foundation, versiones 4.x.
Descripción
El investigador Jari Jääskelä (@JJaaskela) y la empresa IT.NRW han reportado 2 vulnerabilidades: 1 de severidad crítica y otra alta, respectivamente. La explotación de estas vulnerabilidades podría permitir a un atacante acceder al sistema operativo subyacente del servidor o a información sensible, así como escalar privilegios.
Solución
Detalle
- La vulnerabilidad crítica de inyección podría permitir a un atacante, con privilegios elevados y acceso a la consola de administración de App Control, utilizar entradas especialmente diseñadas para acceder al sistema operativo del servidor. Se ha asignado el identificador CVE-2023-20858 para esta vulnerabilidad.
- La vulnerabilidad alta de XML External Entity (XXE) podría permitir a un atacante, sin privilegios administrativos y con acceso a vRealize Orchestrator, usar entradas especialmente diseñadas para saltarse las restricciones de análisis de XML, permitiendo el acceso a información sensible o una posible escalada de privilegios. Se ha asignado el identificador CVE-2023-20855 para esta vulnerabilidad.
Etiquetas
