انتشاربه‌روزرسانی‌های امنيتی VMware

شنبه ۰۴ اسفند ۱۳۹۷
VMware یک آسیب‌پذیری توصیفگر فایل مدیریت نشده‌ در زمان اجرای کانتینر runc را که چندین محصول VMware را تحت‌تأثیر قرار می‌دهد، به‌روزرسانی کرده است.
مرکز آپا شریف
SUT-APA-LOGO

VMware یک آسیب‌پذیری توصیفگر فایل مدیریت نشده‌ در زمان اجرای کانتینر runc را که چندین محصول VMware را تحت‌تأثیر قرار می‌دهد، به‌روزرسانی کرده است.
این آسیب‌پذیری از نظر شدت، «مهم» رتبه‌بندی شده است و دارای شناسه‌ی CVE-2019-5736 است. سوءاستفاده‌ی موفق از این آسیب‌پذیری به یک کانتینر مخرب اجازه می‌دهد تا محتویات باینری runc میزبان را رونویسی و کد دلخواه را اجرا نماید، در نتیجه کنترل سیستم هدف را در دست گیرد.
سوءاستفاده از این آسیب‌پذیری زمانی امکان‌پذیر است که مهاجم اجازه‌ی به‌کار گرفتن کانتینرها یا اجرای docker exec را داشته باشد. بدین ترتیب، مهاجم می‌تواند با این مجوزها کاربر را فریب دهد تا یک کانتینر دلخواه را به‌کار گیرد یا docker exec را برای آن‌ها اجرا نماید.
محصولات VMware که تحت‌تأثیر این آسیب‌پذیری قرار گرفته‌اند عبارتند از:

  • VMware Integrated OpenStack with Kubernetes (VIO-K)
  • VMware PKS (PKS)
  • VMware vCloud Director Container Service Extension (CSE)
  • vSphere Integrated Containers (VIC)

جدول زیر نسخه‌هایی از محصولات فوق که تحت‌تأثیر این آسیب‌پذیری قرار گرفته‌اند و وصله‌‌های منتشرشده برای رفع آن را نمایش می‌دهد:

نام محصول نسخه متاثر شدت آسیب‌پذیری وصله منتشرشده
VIO-K x.5 مهم در انتظار
PKS x.1.3 مهم 1.3.2
PKS x.1.2 مهم 1.2.9
CSE x.1 مهم 1.2.7
VIC x.1 مهم در انتظار


به کاربران و مدیران محصولات فوق توصیه می‌شود نسخه‌های محصولات خود را بررسی و به‌روزرسانی‌های لازم را به‌کار گیرند.