Se ha reportado un nuevo aviso de seguridad sobre cuatro vulnerabilidades que afectan a VMware Aria Operations y VMware Cloud Foundation, que permitirían a un atacante autenticado realizar escalamiento de privilegios, ejecución arbitraria de comandos, entre otros.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Alta” y 3 (tres) de severidad “Media”. Las mismas se detallan a continuación:
- CVE-2023-20877, de severidad “Alta”, con puntuación de 8.8. Esta vulnerabilidad se debe a una falla de seguridad en VMware Aria Operations. Esto permitiría a un atacante autenticado y con privilegios de ReadOnly, realizar ejecución de código para así obtener escalamiento de privilegios en el sistema afectado.
- CVE-2023-20879, de severidad “Media”, con puntuación de 6.7. Esta vulnerabilidad se debe a una falla de seguridad en VMware Aria Operations. Esto permitiría a un atacante local con privilegios administrativos en la aplicación, obtener acceso como root en el sistema operativo subyacente.
- CVE-2023-20878, de severidad “Media”, con puntuación de 6.6. Esta vulnerabilidad se debe a la validación insuficiente en la deserialización de datos de entrada en VMware Aria Operations. Esto permitiría a un atacante con privilegios administrativos, realizar ejecución de comandos arbitrarios y denegación de servicios (DoS) en el sistema afectado.
- CVE-2023-20880, de severidad “Media”, con puntuación de 6.4. Esta vulnerabilidad se debe a una falla de seguridad en VMware Aria Operations. Esto permitiría a un atacante con privilegios administrativos en el sistema local, obtener escalamiento de privilegios al usuario root al sistema afectado.
Los productos afectados son:
- VMware Aria Operations, versiones 8.6.x (previas al Hot Fix 10), 8.10 (previas al Hot Fix 4).
- VMware Cloud Foundation (VMware Aria Operations), versión 4.x.
Recomendamos instalar la actualización correspondiente provista por el fabricante, mediante los siguientes enlaces:
- https://kb.vmware.com/s/article/91852
- https://kb.vmware.com/s/article/91850
- https://kb.vmware.com/s/article/92148
Referencias:
- https://portal.cci-entel.cl/Threat_Intelligence/Boletines/1591/
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-20877
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-20879
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-20878
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-20880
- https://www.vmware.com/security/advisories/VMSA-2023-0009.html
- https://kb.vmware.com/s/article/91852
- https://kb.vmware.com/s/article/91850
- https://kb.vmware.com/s/article/92148