VMware, tehdit aktörlerinin kimlik doğrulamasını atlatmasına ve VMware Aria Operations for Networks’te rastgele yazma erişimi elde etmesine olanak verebilecek iki önemli güvenlik açığı buldu. T
İşletmeler, VMware Aria Operations for Networks’ün yardımıyla yüksek düzeyde kullanılabilir, verimli ve güvenli bir altyapı oluşturabilir. Bu altyapı birçok bulut ortamında etkin bir şekilde çalışabilmektedir. VMware, bu güvenlik kusurlarını keşfettikten sonra hemen düzeltme eki uygulamak için harekete geçti.
Bu güvenlik açığı, farklı bir kriptografik anahtar oluşturma eksikliğinin bir sonucu olarak ortaya çıkar; bu da SSH kimlik doğrulamasının atlanmasına neden olur ve sonuçta Ağlar için Aria Operasyonlarının Komut Satırı Arayüzüne erişime izin verir. Bu güvenlik açığına Kritik olarak kabul edilen 9,8 CVSS Puanı atanmıştır.
Tehdit aktörleri, VMware Aria Operations for Networks programı üzerinde, söz konusu yazılımın Komut Satırı Arayüzüne erişim sağladıktan sonra yıkıcı operasyonlar gerçekleştirebilmektedir. Buna rağmen, bu güvenlik açığından yararlanmanın kolaylıkla yararlanılabileceğine dair bir gösterge yoktur.
Ağlar için VMware Aria Operations’a yönelik yönetici yeteneklerine sahip kötü niyetli bir aktör, bu güvenlik açığından yararlanabilir ve onu kötüye kullanabilir. Tehdit aktörü, dosyaları istediği herhangi bir yere yazma olanağına sahiptir ve bu da uzaktaki kötü amaçlı yazılımların yürütülmesine yol açabilir. Bu güvenlik açığına Yüksek olarak kabul edilen 7,2 CVSS Puanı atanmıştır.
Dosya işleyicisinin bu sorun nedeniyle savunmasız olan bileşen olduğu belirlendi. Şu anda bu güvenlik açığından yararlanıldığına dair bir bilgi ya da kamunun kolayca erişebileceği bir istismar olduğuna dair bir bilgi mevcut değil.
VMware Aria Operations for Networks’ün 6.11’den eski sürümleri bu güvenlik açıklarına karşı bağışıklıdır. Bu ürünlerin kullanıcılarının, bu güvenlik açıklarını düzeltme sürecinin bir parçası olarak yayınlanan VMware Bilgi Bankası makalesi KB94152’yi incelemeleri önemle tavsiye edilir.
Bilgi güvenliği uzmanı, şu anda risk altyapısı uzmanı ve araştırmacısı olarak çalışmaktadır.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.