CSIRTCV

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

12/12/2014

VMware publica varios boletines de seguridad

Leemos en Incibe que VMware ha publicado en los últimos días varios boletines de seguridad para resolver fallos encontrados en sus productos.

Riesgo: Alto

Por una parte, en el boletín VMSA-2014-0012 se han publicado actualizaciones de productos VMware vSphere (ESXi, vCenter y Update Manager) que corrigen un fallo de tipo Cross Site Scripting, un fallo de validación de certificados y vulnerabilidades de seguridad en bibliotecas de terceros.

También se ha descubierto una vulnerabilidad en los productos vCloud Automation Center, publicada en el boletín VMSA-2014-0013, que permite el escalado de privilegios remoto en los entornos que utilizan función "Connect (by) Using VMRC". Esta vulnerabilidad permitiría a un usuario vCAC autenticado obtener acceso administrativo a vCenter Server. Los entornos que utilizan vCloud Director (vCD) como proxy no se ven afectados.

Finalmente, el boletín VMSA-2014-0014 muestra una vulnerabilidad en el producto AirWatch para administración de dispositivos móviles que permite obtener información privada. Son vulnerabilidades de referencia directa a objetos que permiten a un usuario que administra un despliegue AirWatch en un entorno multi-cliente ver la información organizativa y estadísticas de otro cliente.

Sistemas Afectados: Referencias:

CVE-2014-3797, CVE-2014-8371, CVE-2013-2877, CVE-2014-0191, CVE-2014-0015, CVE-2014-0138, CVE-2013-1752, CVE-2013-4238, CVE-2014-8373, CVE-2014-8372

Solución:

El fabricante ha generado las parches que solucionan estas vulnerabilidades:

Notas:

VMSA-2014-0012 (Incibe)

VMSA-2014-0013 (Incibe)

VMSA-2014-0014 (Incibe)

Fuente: Incibe

CSIRT-CV