Broadcom, VMware ürünleriyle ilgili iki güvenlik önerisi yayınladı. Geliştiriciler, VMware Aria Operations, VMware Cloud Foundation ve EAP tarayıcı eklentisindeki güvenlik açıklarını güncellenmiş yazılımla kapatıyor.
Duyuru
VMware'in tavsiye mesajına göre, artık desteklenmeyen Gelişmiş Kimlik Doğrulama Eklentisindeki (EAP) güvenlik açıklarından, keyfi kimlik doğrulama istemek ve oturumların kontrolünü ele geçirmek (oturum ele geçirme) amacıyla yararlanılabilir. Saldırganlar, herhangi bir Active Directory hizmet asıl adı (SPN) (CVE-2024-22245, CVSS) için hizmet biletleri talep etmek ve göndermek üzere web tarayıcısında EAP yüklü olan etki alanı kullanıcılarını kandırabilir. 9.6“Risk”eleştirmen“).
Sistemde daha yüksek haklara sahip bir EAP kullanıcısı EAP oturumu başlatmışsa, aynı sisteme daha düşük haklara sahip bir kullanıcı bu EAP oturumunun kontrolünü ele geçirebilir (CVE-2024-22250, CVSS) 7.8, yüksek). Çözüm, yazılımı güncellemek değil, artık desteklenmeyen yazılımı kaldırmaktır. VMware SSS'si bu konuda rehberlik sağlar.
Diğer VMware güvenlik açıkları
Ancak VMware Aria Operations ve VMware Cloud Foundation'da saldırganların sistemdeki haklarını genişletmelerine olanak tanıyan bir güvenlik açığı bulunmaktadır. Yönetim erişimine sahip kullanıcılar daha sonra kök haklarına sahip olabilir (CVE-2024-22235, CVSS 6.7, orta). Güvenlik açığı riski derecelendirmesi “yüksek”i kaçırıyor.
BT Yöneticileri VMware Aria Operations 8.16'ya Yükseltmeli: Yazılım Güvenlik Hatasını Düzeltiyor. VMware Cloud Foundation 5.2 ve 4.x'in güvenliğini sağlamak için geliştiriciler başka bir SSS'ye başvurabilir.
Manşetlerde VMware'in Broadcom tarafından satın alınmasından bu yana oldukça tartışmalı bir ortamda bulunduğu görülüyor. Yeni sahibi geçen hafta VMware ESXi'nin ücretsiz sürümünü iptal etti.
(Bilmiyorum)
Haberin Sonu
Duyuru
VMware'in tavsiye mesajına göre, artık desteklenmeyen Gelişmiş Kimlik Doğrulama Eklentisindeki (EAP) güvenlik açıklarından, keyfi kimlik doğrulama istemek ve oturumların kontrolünü ele geçirmek (oturum ele geçirme) amacıyla yararlanılabilir. Saldırganlar, herhangi bir Active Directory hizmet asıl adı (SPN) (CVE-2024-22245, CVSS) için hizmet biletleri talep etmek ve göndermek üzere web tarayıcısında EAP yüklü olan etki alanı kullanıcılarını kandırabilir. 9.6“Risk”eleştirmen“).
Sistemde daha yüksek haklara sahip bir EAP kullanıcısı EAP oturumu başlatmışsa, aynı sisteme daha düşük haklara sahip bir kullanıcı bu EAP oturumunun kontrolünü ele geçirebilir (CVE-2024-22250, CVSS) 7.8, yüksek). Çözüm, yazılımı güncellemek değil, artık desteklenmeyen yazılımı kaldırmaktır. VMware SSS'si bu konuda rehberlik sağlar.
Diğer VMware güvenlik açıkları
Ancak VMware Aria Operations ve VMware Cloud Foundation'da saldırganların sistemdeki haklarını genişletmelerine olanak tanıyan bir güvenlik açığı bulunmaktadır. Yönetim erişimine sahip kullanıcılar daha sonra kök haklarına sahip olabilir (CVE-2024-22235, CVSS 6.7, orta). Güvenlik açığı riski derecelendirmesi “yüksek”i kaçırıyor.
BT Yöneticileri VMware Aria Operations 8.16'ya Yükseltmeli: Yazılım Güvenlik Hatasını Düzeltiyor. VMware Cloud Foundation 5.2 ve 4.x'in güvenliğini sağlamak için geliştiriciler başka bir SSS'ye başvurabilir.
Manşetlerde VMware'in Broadcom tarafından satın alınmasından bu yana oldukça tartışmalı bir ortamda bulunduğu görülüyor. Yeni sahibi geçen hafta VMware ESXi'nin ücretsiz sürümünü iptal etti.
(Bilmiyorum)
Haberin Sonu