【漏洞预警】VMware Aria Operations for Networks命令注入漏洞

admin
admin
admin
100792
文章
86
评论
2023年6月9日19:18:33评论38 views字数 1208阅读4分1秒阅读模式

1. 通告信息



近日，安识科技A-Team团队监测到VMware发布安全公告，修复了Aria Operations Networks 6.x中的一个命令注入漏洞（CVE-2023-20887），该漏洞的CVSSv3评分为9.8，对 VMware Aria Operations for Networks 具有网络访问权限的威胁者可以通过执行命令注入攻击，从而导致远程代码执行。
对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。


2. 漏洞概述



漏洞名称：VMware Aria Operations for Networks命令注入漏洞
CVE编号：CVE-2023-20887
简述：VMware Aria Operations for Networks (以前称为vRealize Network Insight，vRNI)是一款网络可视性和分析工具，可以帮助管理员优化网络性能或管理和扩展各种VMware和Kubernetes部署。
对 VMware Aria Operations for Networks 具有网络访问权限的威胁者可以通过执行命令注入攻击，从而导致远程代码执行。此外，VMware Aria Operations for Networks 6.x中还修复了一个反序列化漏洞（CVE-2023-20888，CVSSv3评分9.1），对Aria Operations for Networks 具有网络访问权限的经过身份验证的恶意用户可以执行反序列化攻击，从而导致远程代码执行；以及修复了另一个信息泄露漏洞（CVE-2023-20889，CVSSv3评分8.8），对Aria Operations for Networks具有网络访问权限的威胁者可以通过执行命令注入攻击，导致信息泄露。


3. 漏洞危害



对 VMware Aria Operations for Networks 具有网络访问权限的威胁者可以通过执行命令注入攻击，从而导致远程代码执行。


4. 影响版本



目前受影响的VMware Aria Operations Networks版本：
VMware Aria Operations Networks版本：6.x


5. 解决方案



目前VMware已经发布了这些漏洞的补丁，Aria Operations for Networks 6.2、6.3、6.4、6.5.1、6.6、6.7、6.8、6.9、6.10版本用户可及时安装补丁。
下载链接：https://kb.vmware.com/s/article/92684


6. 时间轴



【-】2023年06月07日 安识科技A-Team团队监测到漏洞公布信息
【-】2023年06月08日 安识科技A-Team团队根据漏洞信息分析
【-】2023年06月09日 安识科技A-Team团队发布安全通告

       

原文始发于微信公众号（SecPulse安全脉搏）：【漏洞预警】VMware Aria Operations for Networks命令注入漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年6月9日19:18:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【漏洞预警】VMware Aria Operations for Networks命令注入漏洞https://cn-sec.com/archives/1790719.html

发表评论

匿名网友 填写信息