VMware ha lanzado actualizaciones de seguridad para abordar una vulnerabilidad de gravedad «alta» en los productos VMware que podría permitir a un atacante realizar operaciones de lectura/escritutra no autorizadas en la base de datos.
Productos Afectados:
- VMware Aria Automation 8.x, versiones anteriores a la version 8.17.0
- VMware Cloud Foundation 5.x,versiones anteriores al fix KB325790
- VMware Cloud Foundation 4.x, versiones anteriores al fix KB325790
Impacto de la vulnerabilidad:
CVE-2024-22280 (CVSSv3 de 8.5, severidad alta), VMware Aria Automation no aplica la validación de entrada correcta lo que permite la inyección de SQL en el producto. Un usuario malintencionado autenticado podría ingresar consultas SQL especialmente diseñadas y realizar operaciones de lectura/escritura no autorizadas en la base de datos.
Recomendación:
Actualizar el producto afectado a la versión más reciente desde la pagina oficial del fabricante.
Referencias:
- https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24598
- https://www.cve.org/CVERecord?id=CVE-2024-22280