VMware a publié un avis de sécurité traitant des vulnérabilités critiques dans vCenter Server, notamment l’exécution de code à distance et les failles d’élévation de privilèges locaux.
VMware vCenter Server est une plate-forme de gestion centrale pour VMware vSphere, permettant la gestion des machines virtuelles et des hôtes ESXi.
Aujourd’hui, le fournisseur a publié des correctifs pour trois vulnérabilités, à savoir CVE-2024-37079, CVE-2024-37080, CVE-2024-37081, résumées comme suit:
- CVE-2024-37079: Une vulnérabilité de débordement de tas dans l’implémentation du protocole DCERPC de vCenter Server qui permet à un acteur malveillant disposant d’un accès réseau d’envoyer des paquets spécialement conçus, conduisant potentiellement à l’exécution de code à distance. (Score CVSS v3.1: 9,8 “critique”)
- CVE-2024-37080: Une autre vulnérabilité de débordement de tas dans le protocole DCERPC de vCenter Server. Semblable à CVE-2024-37079, il permet à un attaquant disposant d’un accès réseau d’exploiter le débordement de tas en envoyant des paquets contrefaits, entraînant potentiellement l’exécution de code à distance. (Score CVSS v3.1: 9,8 “critique”)
- CVE-2024-37081: Cette vulnérabilité résulte d’une mauvaise configuration de sudo dans vCenter Server, permettant à un utilisateur local authentifié d’exploiter cette faille pour élever ses privilèges à root sur vCenter Server Appliance. (Score CVSS v3.1: 7,8 “élevé”)
Les failles ci-dessus affectent les versions 7.0 et 8.0 de VMware vCenter Server et les versions 4 de VMware Cloud Foundation.x et 5.x.
Des mises à jour de sécurité ont été mises à disposition dans VMware vCenter Server 8.0 U2d, 8.0 U1e et 7.0 U3r. Pour Cloud Foundation, les correctifs ont été poussés via KB88287.
Le fournisseur indique que la mise à jour de vCenter Server n’affecte pas l’exécution des charges de travail ou des machines virtuelles, mais une indisponibilité temporaire est à prévoir sur vSphere Client et d’autres interfaces de gestion pendant la mise à jour.
De plus, un problème avec les chiffrements personnalisés a été détecté dans 7.0 U3r (également dans U3q). Une pré-vérification est recommandée pour détecter le problème, tandis que les utilisateurs peuvent également se référer à l’article de la base de connaissances correspondant.
Le fournisseur a déclaré qu’il n’y avait pas de solutions de contournement ou d’atténuation viables dans le produit pour ces vulnérabilités, la solution recommandée est donc d’appliquer les mises à jour dès que possible.
Dans une page FAQ VMware publiée pour accompagner le bulletin de sécurité, la société indique qu’aucune exploitation active des failles n’a encore été détectée dans la nature.
Cependant, il n’est pas rare que les failles de vCenter soient ciblées par des acteurs malveillants lorsqu’elles sont divulguées, les administrateurs doivent donc appliquer les mises à jour dès que possible.