VMware, Carbon Black uç nokta güvenlik platformunda kritik bir güvenlik açığı açıkladı.
Carbon Black, tek bir yönetici konsolu altında kurumsal uç noktalar için uygulama kontrolü, anti-virüs ve ilke yaptırımı sağlar.
Carbon Black’in Windows üzerinde çalışan uygulama denetimi sürümleri 8.7x, 8.8x ve 8.9x, 9.1’lik kritik bir CVSS puanı taşıyan CVE-2023-20858’e tabidir.
VMware bunu bir enjeksiyon güvenlik açığı olarak tanımlar. Bir saldırganın, ağ üzerinden uygulama kontrol yönetim konsoluna ayrıcalıklı erişime ihtiyacı olduğundan, güvenlik açığından yararlanmak için güvenliği ihlal edilmiş kullanıcı kimlik bilgilerine ihtiyacı olacaktır.
Erişim ile, bir saldırgan daha sonra konsol tarafından hazırlanmış girdiyi besleyebilir ve temeldeki sunucu işletim sistemine erişim elde edebilir.
Hata, HackerOne araştırmacısı Jari Jääskelä tarafından keşfedildi.
Şirket ayrıca vRealize Orchestrator, vRealize Automation ve VMware Cloud Foundation ürünlerinde CVSS 8.8 puanlı bir güvenlik açığı olan CVE-2023-20855’i duyurdu.
VMware’in danışma belgesinde, “vRealize Orchestrator’a yönetici olmayan erişimi olan kötü niyetli bir aktör, hassas bilgilere erişime veya ayrıcalıkların olası bir şekilde yükseltilmesine yol açan XML ayrıştırma kısıtlamalarını atlamak için özel olarak hazırlanmış girdileri kullanabilir.”
Hata, Almanya Devlet Bilgi Teknolojisi ve İstatistik Dairesi (IT.NRW) tarafından bildirildi.