cve - 2023 - 20887: VMware咏叹调为网络操作命令注入

VMware问题咨询解决三个缺陷在VMware咏叹调业务网络的解决方案,包括一个关键的命令注入缺陷分配一个CVSSv3得分为9.8。

背景

6月7日,VMware发布一个顾问(vmsa - 2023 - 0012.1)来解决三个漏洞VMware咏叹调业务网络,原名vRealize网络洞察(vRNI),建立安全的网络基础设施解决方案在混合动力和多重云环境中。两个漏洞的披露在这个咨询都被认为是至关重要的。

*请注意:站得住脚的脆弱性优先级评级(冲程体积)的分数计算。这篇文章发表在6月14日,反映了当时冲程体积。

三个缺陷报告通过趋势科技的VMware Zero Day Initiative (ZDI)和两个三个都归功于新浪Kheirkhah (@SinSinology召唤的团队。一个博客召唤团队的网站上发布的细节cve - 2023 - 20887的开发过程。博客也承认,另一个匿名的研究员报告缺陷ZDI第一和VMware的顾问认为cve - 2023 - 20887“匿名”与ZDI合作。

分析

cve - 2023 - 20887是一个命令注入漏洞在VMware咏叹调操作可以利用网络实现远程代码执行(远端控制设备)。博客中描述的召唤,这个漏洞存在由于一连串的两个问题。第一个问题是命令注入漏洞,但到脆弱的代码,必须请求一个端点应该否认由于nginx规则集。然而,这个博客指出,规则可以绕过一个精雕细琢的请求。通过链接这两个问题在一起的请求,它将允许攻击者未经过身份验证的实现远端控制设备。

cve - 2023 - 20888是一个反序列化漏洞在VMware咏叹调业务网络。经过身份验证的攻击者与凭证为一个有效的“成员”角色可以使用一个精心制作的请求执行反序列化的攻击,会导致远端控制设备。

cve - 2023 - 20889是一个信息披露漏洞在VMware咏叹调业务网络。一个与网络访问身份验证的攻击者可能执行一个命令注入攻击这将导致数据的披露。

据报道cve - 2023 - 20887的补丁绕过cve - 2022 - 31702

根据研究员的一条微博y4cve - 2023 - 20887,据报道一个补丁绕过cve - 2022 - 31702,另一个关键命令注入漏洞在vRNI打补丁的2022年12月通过VMware。更多细节cve - 2022 - 31702和补丁绕过可以在这找到博客职位。

好文章!但是我认为你是失踪的一个非常关键的部分,cve - 2023 - 20887是一个补丁绕过cve - 2022 - 31702。

这是我写的一篇分析文章,请阅读它并纠正我。https://t.co/NjU1xuGsaIhttps://t.co/R88WHvPzj3

- y4 (@Y4er_ChaBug)2023年6月14日

VMware证实了在野外利用cve - 2023 - 20887

6月20日,VMware更新其顾问确认开发cve - 2023 - 20887“在野外发生。”研究ers at GreyNoise最近在一篇博客文章中确认6月15日,他们观察到“企图mass-scanning活动”使用公开可用的概念验证(PoC)。没有额外的信息证实了在野外剥削。

概念验证

PoC的cve - 2023 - 20887已经发表GitHub它也包括在召唤团队的博客。当时这篇文章发表于6月14日,没有PoC代码用于其他两个cf。

解决方案

VMware发布固定版本的VMware咏叹调业务网络来解决这些缺陷。固定的版本和补丁可以在指令KB92684并包含在下面的表。

确定影响系统

一个站得住脚的列表插件来识别这些漏洞将会出现在这里当他们被释放。这个链接使用一个搜索过滤器来确保所有匹配插件覆盖率将会出现,因为它被释放。

获得更多的信息

• VMware vmsa - 2023 - 0012.1咨询
• VMware KB92684:解决cve - 2023 - 20887, cve cve - 2023 - 20888 - 2023 - 20889在VMware咏叹调业务网络(以前vRealize网络洞察)On-Prem装置(92684)
• 召唤团队博客:Pre-authenticated远端控制设备在VMware vRealize网络洞察cve - 2023 - 20887

加入站不住脚的安全响应团队站得住脚的社区。

了解更多关于成立一个现代风险管理平台的攻击表面。