- Il confronto
- televisori
- VMware risolve un grave difetto di sicurezza nella piattaforma di fornitura di servizi cloud
VMware ha risolto un grave difetto nella sua piattaforma di fornitura di servizi cloud, VMware Cloud Director, dopo che la società di sicurezza informatica Citadelo ha emesso un avviso di sicurezza su potenziali minacce. Citadelo ha affermato di aver scoperto il bug il 1° aprile durante un audit di sicurezza per un cliente aziendale Fortune 500 che utilizzava VMware Cloud Director. Il software è stato adottato da aziende e fornitori di servizi cloud in tutto il mondo. La società di test di penetrazione ha incolpato il bug in VMware Cloud Director, che semplifica l'hosting degli strumenti di automazione, la migrazione al cloud, la gestione del data center virtuale e l'espansione del data center all'incapacità della piattaforma di gestire correttamente gli input.
Risposta VMware
Gli hacker possono sfruttare la vulnerabilità, identificata come CVE-2020-3956, per eseguire attacchi di esecuzione di codice e assumere "tecnicamente" il controllo di tutti i cloud privati collegati a una determinata infrastruttura, ha avvertito Citadelo. Il bug interessa VMware Cloud Director versioni 10.1.0 e successive, nonché vCloud Director 8x - 10x su configurazioni Linux e dispositivi PhotonOS. Citadelo ha aggiunto che le potenziali conseguenze dei criminali informatici che sfruttano il bug potrebbero estendersi al furto di credenziali modificando i meccanismi di accesso, aumentando i privilegi dagli amministratori dell'organizzazione agli amministratori di vCloud e spoofing della macchina. virtuale attraverso la modifica del database. Nell'ambito della sua analisi completa delle vulnerabilità, la società di sicurezza informatica ha affermato di essere in grado di leggere le e-mail dei clienti, gli indirizzi IP e altri dati sensibili, nonché di accedere ai database del sistema interno. contenente hash di password, inclusi i mapping dei client. In risposta all'avviso, VMware ha descritto il bug, che ha ricevuto un punteggio di gravità CVSSV3 di 8.8, come "significativo" e ha fornito soluzioni e una soluzione alternativa, che è elencata nel suo database. conoscenza. Il fornitore di software di virtualizzazione e cloud ha riconosciuto che gli attori autenticati potrebbero instradare "traffico dannoso" alla sua piattaforma di fornitura di servizi cloud, precedentemente nota come vCloud Director, innescando l'esecuzione arbitraria di codice remoto.Gli hacker potrebbero sfruttare il fallimento di VMware Cloud Director attraverso le interfacce utente Flex e HTML5, Interfaccia API Explorer e accesso API, ha affermato VMware. Dopo che il bug è stato rivelato, la società lo ha risolto e riprodotto il 3 aprile, richiedendo la creazione di una patch il 30 aprile. VMware ha successivamente fatto una divulgazione su questo argomento a maggio, per consentire agli utenti di VMware Cloud Director di correggere la loro build nel tempo. Infine, il 19 maggio VMware ha rilasciato un avviso di sicurezza ai propri clienti. Via: ZDNet