VMware abordó una vulnerabilidad de alta gravedad en vRealize Operations

31 Marzo 2021
Alto

VMware ha publicado actualizaciones de seguridad para abordar múltiples vulnerabilidades en VMware vRealize Operations que podrían permitir a los actores de amenazas robar credenciales de administrador de instalaciones vulnerables.

VMware vRealize Operations

VMware vRealize Operations es una plataforma autónoma e impulsada por IA para la gestión de operaciones de TI para entornos privados, híbridos y de múltiples nubes. La solución está disponible como solución local o SaaS.

CVE-2021-21975 Vulnerabilidad de una falsificación de solicitud del lado del servidor en la API de vRealize Operations Manager

La API de vRealize Operations Manager contiene una falsificación de solicitud del lado del servidor, con una puntuación base máxima de CVSSv3 de  8,6

"Un actor malintencionado con acceso de red a la API de vRealize Operations Manager puede realizar un ataque de falsificación de solicitud del lado del servidor para robar credenciales administrativas".

La vulnerabilidad fue reportada a VMware por el investigador de seguridad Egor Dimitrenko de Positive Technologies.

CVE-2021-21983 vulnerabilidad de escritura de archivos arbitraria en la API de vRealize Operations Manage

Un actor malintencionado autenticado con acceso de red a la API de vRealize Operations Manager puede escribir archivos en ubicaciones arbitrarias en el sistema operativo de fotones subyacente. Recibiendo una puntuación base CVSSv3 de 7.2.

Los productos afectados incluyen:

  • VMware vRealize Operations
  • VMware Cloud Foundation
  • vRealize Suite Lifecycle Manager

Se recomienda lo siguiente:

  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.

El listado de las CVE se adjunta a continuación:


Tags: #VMware #Parche #vRealizeOperations #CloudFoundation #SuiteLifecycleManager #CVE-2021-21983 #CVE-2021-21975


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.