Серьезная ошибка VMware до сих пор не исправлена, почти год спустя

12 октября 2022 г.

Очень опасная уязвимость, обнаруженная почти год назад в VMware vCenter Server 8.0, еще не была исправлено.

Уязвимость, отслеживаемая как CVE-2021-22048, описывается как уязвимость повышения привилегий и позволяет пользователям без прав администратора повышать свои привилегии. на неисправленных серверах. Она была обнаружена в ноябре 2021 года в интегрированном механизме проверки подлинности Windows (IWA) vCenter Server.

Субъекты угрозы, которые успешно используют эту уязвимость, могут «полностью нарушить конфиденциальность и/или целостность пользовательских данных и/или ресурсов обработки посредством помощь пользователя или аутентифицированные злоумышленники», — говорилось в то время.

Доступны обходные пути

Патч все еще находится на рассмотрении, но не из-за отсутствия попыток. На самом деле VMware выпустила обновление для системы безопасности в июле этого года, которое пыталось устранить уязвимость для серверов, на которых установлена ​​самая последняя версия (по данным BleepingComputer, vCenter Server 7.0 Update 3f).

Однако , компания была вынуждена удалить исправление менее чем через две недели, потому что оно не устранило проблему, а также вызвало сбой службы Secure Token Service (vmware-stsd) во время исправления.

«VMware определили, что обновления vCenter 7.0u3f, ранее упомянутые в матрице ответов, не исправляют CVE-2021-22048 и не приводят к функциональной проблеме», — заявила VMware в то время в своем бюллетене по безопасности.

Пока не будет выпущено исправление доступны, ИТ-администраторам, использующим уязвимые системы, рекомендуется развернуть обходной путь, переключившись с IWA на Active Directory через аутентификацию LDAP ИЛИ Федерацию поставщиков удостоверений для AD FS (vSphere 7.0).

«Эта уязвимость не затрагивает аутентификацию Active Directory через LDAP, — заявили в компании. — Однако VMware настоятельно рекомендует клиентам планировать переход на другой метод аутентификации».

Кроме того, «Active Directory через LDAP не понимает доверительные отношения домена, поэтому клиентам, которые перейдут на этот метод, придется настроить уникальный идентификация источник для каждого из их доверенных доменов", - пояснила VMware. «Федерация поставщиков удостоверений для AD FS не имеет этого ограничения».

• Это лучшее программное обеспечение для виртуальных машин прямо сейчас.

Через BleepingКомпьютер

---

Оригинал