VMware, Aria Operations for Networks’te, kimlik doğrulamayı atlamak ve uzaktan kod yürütme elde etmek için potansiyel olarak istismar edilebilecek iki güvenlik açığını düzeltmek için yazılım güncellemeleri yayınladı.
Kusurların en ciddisi, benzersiz kriptografik anahtar oluşturma eksikliğinin bir sonucu olarak ortaya çıkan bir kimlik doğrulama atlama durumuyla ilgili olan CVE-2023-34039’dur (CVSS puanı: 9,8).
Şirket, bir danışma belgesinde “Aria Operations for Networks’e ağ erişimi olan kötü niyetli bir aktör, Aria Operations for Networks CLI’ye erişim kazanmak için SSH kimlik doğrulamasını atlayabilir” dedi.
ProjectDiscovery araştırmacıları Harsh Jaiswal ve Rahul Maini, sorunu keşfetme ve bildirme konusunda itibar kazandı.
İkinci zayıf nokta olan CVE-2023-20890 (CVSS puanı: 7,2), ağlar için Aria Operations’ı etkileyen, rastgele konumlara dosya yazmak ve uzaktan kod yürütmek için yönetim erişimine sahip bir rakip tarafından kötüye kullanılabilecek rastgele bir dosya yazma güvenlik açığıdır.
Hatayı bildiren kişi, Haziran 2023’te aktif olarak kullanıma sunulan CVE-2023-20887 de dahil olmak üzere aynı üründe birden fazla kusuru daha önce ortaya çıkaran Summoning Team’den Sina Kheirkhah’dır.
VMware Aria Operations Networks’ün 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 ve 6.10 sürümlerini etkileyen güvenlik açıkları, VMware tarafından her sürüm için yayımlanan bir dizi yamayla giderildi.
Sanallaştırma hizmetleri sağlayıcısı, 6.11.0 sürümünün iki kusura yönelik düzeltmelerle birlikte geldiğini söyledi.
Geçmişte VMware’deki güvenlik sorunlarının tehdit aktörleri için kazançlı bir hedef haline gelmesiyle birlikte, kullanıcıların potansiyel tehditlere karşı korunmak için en son sürüme hızla güncelleme yapması zorunludur.