VMware a publié des mises à jour de sécurité pour corriger une faille critique dans vCenter Server qui pourrait entraîner l’exécution de code à distance sur les systèmes concernés.
Le problème, suivi comme CVE-2023-34048 (score CVSS : 9,8), a été décrit comme une vulnérabilité d’écriture hors limites dans la mise en œuvre du Protocole DCE/RPC.
« Un acteur malveillant disposant d’un accès réseau à vCenter Server peut déclencher une écriture hors limites, conduisant potentiellement à l’exécution de code à distance », indique VMware. dit dans un avis publié aujourd’hui.
Grigory Dorodnov de Trend Micro Zero Day Initiative est crédité de la découverte et du signalement de la faille.
VMware a déclaré qu’il n’existait aucune solution de contournement pour atténuer le problème et que des mises à jour de sécurité étaient disponibles dans les versions suivantes du logiciel :
- VMware vCenter Server 8.0 (8.0U1d ou 8.0U2)
- VMware vCenter Server 7.0 (7.0U3o)
- VMware Cloud Foundation 5.x et 4.x
Compte tenu de la criticité de la faille et de l’absence de mesures d’atténuation temporaires, le fournisseur de services de virtualisation a déclaré qu’il mettait également à disposition un correctif pour vCenter Server 6.7U3, 6.5U3 et VCF 3.x.
La dernière mise à jour corrige en outre CVE-2023-34056 (score CVSS : 4,3), une vulnérabilité de divulgation partielle d’informations affectant vCenter Server qui pourrait permettre à un acteur malveillant disposant de privilèges non administratifs d’accéder à des données non autorisées.
VMware, dans un FAQ séparéea déclaré qu’il n’était pas au courant d’une exploitation sauvage des failles, mais a recommandé à ses clients d’agir rapidement pour appliquer les correctifs dès que possible afin d’atténuer toute menace potentielle.