یک نقص حیاتی وصله نشده روی VMware

VMware راه‌حل‌های موقتی را برای رفع یک آسیب‌پذیری حیاتی روی محصولات خود منتشر کرده است که می‌تواند توسط یک مهاجم برای کنترل سیستم آسیب‌دیده مورد بهره‌برداری قرار گیرد.

این شرکت نرم‌افزاری و خدمات مجازی‌سازی در گزارش خود دراین‌باره اشاره کرد: “یک مهاجم موذی با دسترسی شبکه و تنظیمات مدیریتی در پورت ۸۴۴۳ و یک رمز عبور معتبر برای حساب مدیر تنظیم‌کننده، می‌تواند دستوراتی را با امتیازات نامحدود در سیستم‌عامل اساسی اجرا کند.”

این آسیب‌پذیری تزریق دستور با عنوان CVE-2020-4006 نام‌گذاری شده است و دارای نمره ۹٫۱ از ۱۰ در مقیاس CVSS است و رویVMware Workspace One Access ، Access Access ، Identity Manager و Identity Manager Connector تأثیر می‌گذارد.

درحالی‌که این شرکت گفت که اصلاحیه‌های موجود برای این نقص “در آینده” منتشر می‌شود، اما تاریخ دقیقی را تا زمان انتظار برای انتشار آن‌ها مشخص نکرد. مشخص نیست که آیا این آسیب‌پذیری تحت حمله فعال قرار دارد یا خیر.

لیست کامل محصولات تحت تأثیر به شرح زیر است:

VMware Workspace One Access (versions 20.01 and 20.10 for Linux and Windows)
VMware Workspace One Access Connector (versions 20.10, 20.01.0.0, and 20.01.0.1 for Windows)
VMware Identity Manager (versions 3.3.1, 3.3.2, and 3.3.3 for Linux and Windows)
VMware Identity Manager Connector (versions 3.3.1, 3.3.2 for Linux and 3.3.1, 3.3.2, 3.3.3 for Windows)
VMware Cloud Foundation (versions 4.x for Linux and Windows)
vRealize Suite Lifecycle Manager (versions 8.x for Linux and Windows)

VMware گفت این راه‌حل فقط برای سرویس تنظیمات مدیریتی میزبانی‌شده در پورت ۸۴۴۳ اعمال می‌شود.

این شرکت گفت [۳]: “تغییرات تنظیمات مدیریتی وقتی سرویس در محل باشد، امکان‌پذیر نخواهد بود. در صورت نیاز به تغییر، لطفاً راه‌حل را با توجه دستورالعمل‌ها برگردانید، تغییرات موردنیاز را اعمال کرده و مجدداً آن را غیرفعال کنید تا وصله‌ها در دسترس باشند.”

این گزارش چند روز پس از رسیدگی VMware به نقص حیاتی در Hypervisors ESXi ، Workstation و Fusion صورت گرفت [۴] که می‌تواند توسط یک مهاجم موذی و دارای امتیازات مدیریت محلی در یک ماشین مجازی برای اجرای کد و افزایش امتیازات خود در سیستم آسیب‌دیده مورد بهره‌برداری قرار گیرد (CVE-2020- 4004 و CVE-2020-4005).

این آسیب‌پذیری توسط تیم Qihoo 360 Vulcan در مسابقه Pwn Cup Tianfu 2020 که اوایل ماه نوامبر ۲۰۲۰ در چین برگزار شد، کشف شد [۵].

منابع

[۱] https://www.vmware.com/security/advisories/VMSA-2020-0027.html

[۲] https://capec.mitre.org/data/definitions/248.html