VMware tiene liberado actualizaciones de seguridad para corregir un trío de fallas en Aria Operations for Networks que podrían resultar en la divulgación de información y la ejecución remota de código.
La más crítica de las tres vulnerabilidades es una vulnerabilidad de inyección de comandos rastreada como CVE-2023-20887 (puntuación CVSS: 9,8) que podría permitir que un actor malicioso con acceso a la red logre la ejecución remota de código.
También parcheado por VMware es otro vulnerabilidad de deserialización (CVE-2023-20888) que tiene una calificación de 9.1 de un máximo de 10 en el sistema de calificación CVSS.
«Un actor malicioso con acceso a la red de VMware Aria Operations for Networks y credenciales válidas de rol de ‘miembro’ puede realizar un ataque de deserialización que resulte en la ejecución remota de código», dijo la compañía en un aviso.
El tercer defecto de seguridad es un error de divulgación de información de alta gravedad (CVE-2023-20889puntuación CVSS: 8,8) que podría permitir a un actor con acceso a la red realizar un ataque de inyección de comandos y obtener acceso a datos confidenciales.
Las tres deficiencias que afectan a VMware Aria Operations Networks versión 6.x han sido remediado en las siguientes versiones: 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 y 6.10. No hay soluciones que mitiguen los problemas.
La alerta llega cuando Cisco enviado corrige una falla crítica en Expressway Series y TelePresence Video Communication Server (VCS) que podría «permitir que un atacante autenticado con credenciales de solo lectura de nivel de administrador eleve sus privilegios a administrador con credenciales de lectura y escritura en un sistema afectado».
La falla de escalada de privilegios (CVE-2023-20105, puntaje CVSS: 9.6), dijo, se deriva del manejo incorrecto de las solicitudes de cambio de contraseña, lo que permite que un atacante altere las contraseñas de cualquier usuario en el sistema, incluida una lectura-escritura administrativa. usuario y luego hacerse pasar por ese usuario.
🔐 Dominio de la seguridad de API: comprensión de su verdadera superficie de ataque
Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. ¡Únase a nuestro seminario web perspicaz!
Una segunda vulnerabilidad de alta gravedad en el mismo producto (CVE-2023-20192, puntuación CVSS: 8,4) podría permitir que un atacante local autenticado ejecute comandos y modifique los parámetros de configuración del sistema.
Como solución alternativa para CVE-2023-20192, Cisco recomienda que los clientes deshabiliten el acceso CLI para usuarios de solo lectura. Ambos problemas se abordaron en las versiones 14.2.1 y 14.3.0 de VCS, respectivamente.
Si bien no hay evidencia de que se haya abusado de alguna de las fallas antes mencionadas, se recomienda encarecidamente reparar las vulnerabilidades lo antes posible para mitigar los riesgos potenciales.
Los avisos también siguen la descubrimiento de tres errores de seguridad en RenderDoc (CVE-2023-33863, CVE-2023-33864y CVE-2023-33865), un depurador de gráficos de código abierto, que podría permitir que un aviso obtenga privilegios elevados y ejecute código arbitrario.