ГлавнаяБаза уязвимостей БДУ → BDU:2023-00857
9высокая

BDU:2023-00857

Уязвимость платформы для автоматизации рабочих процессов VMware vRealize Orchestrator, средства управления виртуальной инфраструктурой VMware vRealize Automation, платформы виртуализации VMware Cloud Foundation, связанная с неверным ограничением XML-ссылок на внешние объекты, позволяющая нарушителю проводить XXE-атаки
Опубликовано: 2023-02-27
Описание

Уязвимость платформы для автоматизации рабочих процессов VMware vRealize Orchestrator, средства управления виртуальной инфраструктурой VMware vRealize Automation, платформы виртуализации VMware Cloud Foundation связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить XXE-атаки

Затрагиваемое ПО и версии
VMware Aria Automation Orchestrator (от 8.0 до 8.11.1)VMware Aria Automation (от 8.0 до 8.11.1)VMware Cloud Foundation (до KB90926)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений;
- использование антивирусного программного обеспечения для анализа XML-файлов;
- использование сторонних средств контроля доступа пользователей (VPN и др.) к программному продукту из общедоступных сетей (Интернет).

Использование рекомендаций производителя:
https://www.vmware.com/security/advisories/VMSA-2023-0005.html

Оценка CVSS
Балл9 — высокая опасность
Источники и патчи
https://www.vmware.com/security/advisories/VMSA-2023-0005.html
Проверьте безопасность своего сайта и почты → Полная проверка домена