В VMware vSphere Replication исправили баг, позволявший удаленно выполнять команды на сервере - «Новости» » Интернет технологии
sitename
AMD раскрыла потенциал Radeon RX 9070 XT новыми драйверами — GeForce RTX 5070 Ti теперь медленнее - «Новости сети»
AMD раскрыла потенциал Radeon RX 9070 XT новыми драйверами — GeForce RTX 5070 Ti теперь медленнее - «Новости сети»
Honor представила флагманский планшет MagicPad 3 с большим 13,3-дюймовым экраном и ценой от $420 - «Новости сети»
Honor представила флагманский планшет MagicPad 3 с большим 13,3-дюймовым экраном и ценой от $420 - «Новости сети»
Миллионы долларов на ветер — DARPA отменило проект космического рейдера на тепловом ядерном двигателе - «Новости сети»
Миллионы долларов на ветер — DARPA отменило проект космического рейдера на тепловом ядерном двигателе - «Новости сети»
«Кто-то проник в наш дом и что-то украл» — Сэм Альтман назвал отвратительным то, как Meta✴ переманивает специалистов ИИ - «Новости сети»
«Кто-то проник в наш дом и что-то украл» — Сэм Альтман назвал отвратительным то, как Meta✴ переманивает специалистов ИИ - «Новости сети»
Нил Дракманн бросил сериал The Last of Us, чтобы «целиком сосредоточиться» на Intergalactic: The Heretic Prophet - «Новости сети»
Нил Дракманн бросил сериал The Last of Us, чтобы «целиком сосредоточиться» на Intergalactic: The Heretic Prophet - «Новости сети»
Япония запретила продажу смартфонов Google Pixel 7 — Pixel 8 и Pixel 9 тоже под угрозой - «Новости сети»
Япония запретила продажу смартфонов Google Pixel 7 — Pixel 8 и Pixel 9 тоже под угрозой - «Новости сети»
В Пекине прошёл первый в мире футбольный турнир между гуманоидными роботами - «Новости сети»
В Пекине прошёл первый в мире футбольный турнир между гуманоидными роботами - «Новости сети»
Toyota RAV4 по итогам прошлого года обогнала Tesla Model Y в статусе самого популярного в мире автомобиля - «Новости сети»
Toyota RAV4 по итогам прошлого года обогнала Tesla Model Y в статусе самого популярного в мире автомобиля - «Новости сети»
Злоумышленники могут обойти аутентификацию почти 700 моделей принтеров Brother - «Новости»
Злоумышленники могут обойти аутентификацию почти 700 моделей принтеров Brother - «Новости»
Специалисты Cloudflare объяснили, что происходит с российским трафиком - «Новости»
Специалисты Cloudflare объяснили, что происходит с российским трафиком - «Новости»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » В VMware vSphere Replication исправили баг, позволявший удаленно выполнять команды на сервере - «Новости»

Эксперт Positive Technologies Егор Димитренко обнаружил уязвимость высокого уровня опасности в средстве репликации данных VMware vSphere Replication. Данное решение дает возможность создавать резервные копии виртуальных машин и запускать их в случае сбоя основной виртуальной машины.


Найденная ошибка позволяла злоумышленникам, имеющим доступ к веб-интерфейсу администратора VMware vSphere Replication, выполнять на сервере произвольный код с максимальными привилегиями и начать продвижение внутри сети для захвата контроля над корпоративной инфраструктурой.


Проблема получила идентификатор CVE-2021-21976 и оценивается на 7,2 баллов из 10 по шкале CVSS v3.


«Уязвимости, позволяющие выполнять такого рода атаки (Сommand Injection), довольно часто можно встретить в продуктах для администрирования, — объясняет Егор Димитренко. — Обычно к таким ошибкам приводит недостаточная проверка пользовательских входных данных, которые впоследствии попадают в контекст вызова системных команд. Механизмы предотвращения подобных атак, как правило, встроены в инструменты разработчиков, защищая от возможности допустить ошибку при написании кода. Тем не менее по прежнему встречаются аномалии в коде, возникшие, например, при поспешном внедрении новой функциональности или в результате исправления уже существующей проблемы в рамках hotfix-исправлений. Для эксплуатации найденной уязвимости в продукте VMware злоумышленнику требуются учетные данные, которые могут быть получены вследствие использования слабых паролей или с помощью социотехнических атак».


Для устранения уязвимости эксперты советуют руководствоваться рекомендациями из официального уведомления компании VMware.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Эксперт Positive Technologies Егор Димитренко обнаружил уязвимость высокого уровня опасности в средстве репликации данных VMware vSphere Replication. Данное решение дает возможность создавать резервные копии виртуальных машин и запускать их в случае сбоя основной виртуальной машины. Найденная ошибка позволяла злоумышленникам, имеющим доступ к веб-интерфейсу администратора VMware vSphere Replication, выполнять на сервере произвольный код с максимальными привилегиями и начать продвижение внутри сети для захвата контроля над корпоративной инфраструктурой. Проблема получила идентификатор CVE-2021-21976 и оценивается на 7,2 баллов из 10 по шкале CVSS v3. «Уязвимости, позволяющие выполнять такого рода атаки (Сommand Injection), довольно часто можно встретить в продуктах для администрирования, — объясняет Егор Димитренко. — Обычно к таким ошибкам приводит недостаточная проверка пользовательских входных данных, которые впоследствии попадают в контекст вызова системных команд. Механизмы предотвращения подобных атак, как правило, встроены в инструменты разработчиков, защищая от возможности допустить ошибку при написании кода. Тем не менее по прежнему встречаются аномалии в коде, возникшие, например, при поспешном внедрении новой функциональности или в результате исправления уже существующей проблемы в рамках hotfix-исправлений. Для эксплуатации найденной уязвимости в продукте VMware злоумышленнику требуются учетные данные, которые могут быть получены вследствие использования слабых паролей или с помощью социотехнических атак». Для устранения уязвимости эксперты советуют руководствоваться рекомендациями из официального уведомления компании VMware.
CSS

Смотрите также


А что там на главной? )))



Комментарии )))



Войти через: