VMware đã phát hành bản cập nhật phần mềm để sửa hai lỗ hổng bảo mật trong Aria Operations for Networks có thể bị khai thác để vượt qua xác thực và thực thi mã từ xa.
Lỗ hổng nghiêm trọng nhất là CVE-2023-34039 (điểm CVSS: 9,8), liên quan đến trường hợp bỏ qua xác thực phát sinh do thiếu tạo khóa mật mã duy nhất.
Công ty cho biết trong một lời khuyên: “Một tác nhân độc hại có quyền truy cập mạng vào Aria Operations for Networks có thể bỏ qua xác thực SSH để có quyền truy cập vào Aria Operations for Networks CLI”.
Các nhà nghiên cứu của ProjectDiscovery Harsh Jaiswal và Rahul Maini đã được ghi nhận là người đã phát hiện và báo cáo vấn đề.
Điểm yếu thứ hai, CVE-2023-20890 (điểm CVSS: 7.2), là một lỗ hổng ghi tệp tùy ý ảnh hưởng đến Hoạt động của Aria cho Mạng. Lỗ hổng này có thể bị kẻ thù có quyền truy cập quản trị để ghi tệp vào các vị trí tùy ý và thực thi mã từ xa.
Người được cho là đã báo cáo lỗi này là Sina Kheirkhah của Summoning Team, người trước đây đã phát hiện ra nhiều lỗ hổng trong cùng một sản phẩm, bao gồm cả CVE-2023-20887 , lỗi đã được khai thác ngoài tự nhiên vào tháng 6 năm 2023.
Các lỗ hổng ảnh hưởng đến VMware Aria Operations Networks phiên bản 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 và 6.10, đã được xử lý trong một loạt bản vá do VMware phát hành cho từng phiên bản.
Nhà cung cấp dịch vụ ảo hóa cho biết phiên bản 6.11.0 đã có bản sửa lỗi cho hai lỗ hổng.
Do các vấn đề bảo mật trong VMware trước đây đã nổi lên như một mục tiêu béo bở cho các tác nhân đe dọa nên người dùng bắt buộc phải nhanh chóng cập nhật lên phiên bản mới nhất để bảo vệ trước các mối đe dọa tiềm ẩn.