VMware a corrigé une grave faille dans sa plate-forme de prestation de services cloud, VMware Cloud Director, après que la société de cybersécurité Citadelo a publié un avis de sécurité sur les menaces potentielles. Citadelo a déclaré avoir découvert le bogue le 1er avril lors d'un audit de sécurité pour une entreprise cliente du Fortune 500 utilisant VMware Cloud Director. Le logiciel a été adopté par des entreprises et des fournisseurs de services cloud du monde entier. La société de tests d'intrusion a blâmé le bogue de VMware Cloud Director, qui facilite l'hébergement d'outils d'automatisation, la migration vers le cloud, la gestion du centre de données virtuel et l'extension du centre de données à l'incapacité de la plate-forme à gérer correctement les entrées.
Réponse VMware
Les pirates peuvent exploiter la vulnérabilité, identifiée comme CVE-2020-3956, pour effectuer des attaques d'exécution de code et prendre "techniquement" le contrôle de tous les clouds privés liés à l'infrastructure donnée, a averti Citadelo. Le bogue affecte les versions 10.1.0 et ultérieures de VMware Cloud Director, ainsi que vCloud Director 8x - 10x sur les configurations Linux et les appareils PhotonOS. Citadelo a ajouté que les conséquences potentielles des cybercriminels exploitant le bogue pourraient s'étendre au vol d'informations d'identification en modifiant les mécanismes de connexion, en augmentant les privilèges des administrateurs de l'organisation aux administrateurs vCloud et en usurpant la machine. . virtuel par modification de la base de données. Dans le cadre de son analyse complète des vulnérabilités, la société de cybersécurité a déclaré qu'elle était capable de lire les e-mails, les adresses IP et d'autres données sensibles des clients, ainsi que d'accéder aux bases de données du système interne. contenant des hachages de mots de passe, y compris des mappages client. En réponse à l'avis, VMware a décrit le bogue, qui a reçu un score de gravité CVSSV3 de 8.8, comme "significatif" et a fourni des solutions et une solution de contournement, qui sont répertoriées dans sa base de données. connaissance. Le fournisseur de logiciels de virtualisation et de cloud a reconnu que des acteurs authentifiés pouvaient acheminer le «trafic malveillant» vers sa plate-forme de prestation de services cloud, anciennement connue sous le nom de vCloud Director, déclenchant l'exécution arbitraire de code à distance.Les pirates pourraient exploiter l'échec de VMware Cloud Director via les interfaces utilisateur Flex et HTML5, Interface API Explorer et accès API, a déclaré VMware. Une fois le bogue révélé, la société l'a corrigé et reproduit le 3 avril, ce qui a entraîné la création d'un correctif le 30 avril. VMware a ensuite fait une divulgation sur ce sujet en mai, pour permettre aux utilisateurs de VMware Cloud Director de corriger leur build au fil du temps. Enfin, VMware a publié un avis de sécurité à ses clients le 19 mai. Via : ZDNet