VMware conseille à ses clients de mettre à niveau ou de mettre à jour son logiciel Aria for Network Operations en raison de problèmes de sécurité potentiels.

VMware Aria est la plate-forme de gestion multi-cloud du fournisseur qui intègre des services VMware auparavant distincts tels que vRealize Automation, vRealize Operations, vRealize Network Insight et CloudHealth. Une seule console Aria Hub fournit des vues et des contrôles centralisés et permet aux clients de voir et de gérer l’ensemble de l’environnement multi-cloud.

Les vulnérabilités se trouvent dans Aria Operations for Networks, un composant de surveillance qui peut trouver la cause des retards des applications en fonction de la latence du trafic TCP et des retransmissions et déclencher des alertes sur le tableau de bord des applications.

Plus précisément, VMware a déclaré qu’Aria Operations for Networks contenait deux vulnérabilités. La première et la plus grave est une faiblesse du contournement d’authentification due à un manque de génération de clé cryptographique unique. VMware a classé ce problème dans la « plage de gravité critique » avec un score CVSS (Common Vulnerability Scoring System) maximum de 9,8 sur 10. La seconde est une vulnérabilité d’écriture de fichier arbitraire, qui a un score de menace CVSS de 7,2.

En raison de la faiblesse de l’authentification, un acteur malveillant ayant un accès réseau à Aria Operations for Networks pourrait contourner l’authentification Secure Sockets Shell (SSH) pour accéder à l’interface de ligne de commande d’Aria Operations for Networks, ce qui pourrait déclencher toutes sortes de problèmes de contrôle, a déclaré VMware.

Grâce à la vulnérabilité d’écriture de fichiers, un attaquant authentifié disposant d’un accès administratif à VMware Aria Operations for Networks peut écrire des fichiers dans des emplacements arbitraires, ce qui entraîne l’exécution de code à distance, a déclaré VMware.

VMware a averti que les versions 6.2/6.3/6.4/6.5.1/6.6/6.7/6.8/6.9/6.10 d’Aria Operations for Networks On-Prem sont affectées par les vulnérabilités et a déclaré que la mise à niveau vers la version 6.11 résout les problèmes. Les clients peuvent également télécharger des correctifs pour les vulnérabilités ici.