VMware는 수요일에 공격자가 시스템을 제어하기 위해 악용할 수 있는 제품의 취약점을 해결하기 위한 보안 업데이트를 출시했다.
6가지 보안 취약점(CVE-2021-22022 ~ CVE-2021-22027, CVSS 점수: 4.4 - 8.6)은 VMware vRealize Operations(8.5.0 이전버전), VMware Cloud Foundation(버전 3.x와 4.x), vRealize Suite Lifecycle Manager(버전 8.x)에 영향을 미친다.
CVE-2021-22022 (CVSS 점수: 4.4) - vRealize Operations Manager API의 임의 파일 읽기 취약점
CVE-2021-22023 (CVSS 점수: 6.6) - vRealize Operations Manager API의 안전하지 않은 직접 개체 참조 취약점
CVE-2021-22024 (CVSS 점수: 7.5) - vRealize Operations Manager API의 임의 로그 파일 읽기 취약점
CVE-2021-22025 (CVSS 점수: 8.6) - vRealize Operations Manager API의 손상된 액세스 제어 취약점.
CVE-2021-22026과 CVE-2021-22027 (CVSS 점수: 7.5) - vRealize Operations Manager API의 서버 측 요청 위조 취약점(SSRF).
취약점을 보고한 사람은 Positive Technologies의 Egor Dimitrenko(CVE-2021-22022, CVE-2021-22023)와 MoyunSec V-Lab의 thiscodecc(CVE-2021-22024 ~ CVE-2021-22027로)이다.
이와 별도로 VMware는 VMware vRealize Log Insight와 VMware Cloud Foundation에 영향을 미치는 XSS(Cross Site Scripting) 취약점을 수정하기 위한 패치도 발표했다. 이 취약점을 악용하면 Log Insight UI를 통해 악의적인 페이로드를 주입할 수 있고, 피해자가 공유 대시보드 링크에 액세스할 때 주입한 페이로드가 실행된다.
식별자 CVE-2021-22021이 할당된 취약점은 CVSS 점수 시스템에서 6.5 심각도로 평가되었다. Prevenity의 Marcin Kot과 Vantage Point Security의 Tran Viet Quang가 각각 해당 취약점을 발견하고 보고한 것으로 알려졌다.
출처
https://thehackernews.com/2021/08/vmware-issues-patches-to-fix-new-flaws.html
