Уязвимость в VMware открывает хакерам доступ к корпоративной информации

Уязвимость в VMware открывает хакерам доступ к корпоративной информации

По системе оценивания опасности CVSS v.3 уязвимость CVE-2020-3952 получила максимальные 10 баллов.

В сервисе VMware Directory Service (vmdir) обнаружена и исправлена опасная уязвимость ( CVE-2020-3952 ), позволяющая злоумышленникам получить доступ к содержимому всей корпоративной виртуальной инфраструктуры.

VMware Directory Service является компонентом утилиты VMware vCenter Server, обеспечивающей централизованное управление виртуальными хостами и виртуальными машинами с одной консоли. Согласно описанию продукта, «один администратор может управлять сотнями приложений». Эти приложения управляются с помощью технологии единого входа (single sign-on, SSO).

VMware Directory Service является центральным компонентом vCenter SSO (наряду с сервером администрирования Security Token Service и сервисом vCenter Lookup Service). Кроме того, vmdir используется для управления сертификатами приложений, управляемых vCenter.

По системе оценивания опасности CVSS v.3 уязвимость CVE-2020-3952 получила максимальные 10 баллов. Проблема связана с плохой реализацией технологии управления доступом, позволяющей злоумышленнику обойти механизм аутентификации. Злоумышленник с сетевым доступом к уязвимой установке vmdir может извлечь конфиденциальную информацию, позволяющую взломать vCenter Server.

Уязвимость затрагивает установки vCenter Server 6.7 до версии 6.7u3f, если они были обновлены с предыдущих веток 6.0 или 6.5. Проблема не затрагивает «чистые» установки vCenter Server 6.7.


Anonymous объявили войну Илону Маску, ФБР следило за преступниками по всему миру через собственный зашифрованный чат, Apple возместила моральный вред американской студентке за слив ее интимных фото в новом выпуске Security-новостей на нашем Youtube канале.