April 25, 2024

Language:

CamSA22-52: ចំណុចខ្សោយធ្ងន់ធ្ងរមាននៅក្នុងផលិតផលក្រុមហ៊ុន VMware

១. ព័ត៌មានទូទៅ

នាពេលថ្មីៗនេះក្រុមហ៊ុន VMware បានចេញសេចក្តីណែនាំសន្តិសុខ (VMSA-2022-0031) និង (VMSA-2022-0033) បន្ទាន់មួយអំពីការទប់ស្កាត់ទៅលើភាពងាយរងគ្រោះ និងដើម្បីបិទចន្លោះប្រហោង (ចំណុចខ្សោយ) ចំនួន២ ដែលមាននៅក្នុងកម្មវិធី VMware vRealize Network Insight (vRNI), VMware ESXi, Workstation, និង Fusion ។

  • CVE-2022-31702: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវិធី VMware vRealize Network Insight ដោយសារតែកម្មវិធីមិនបានធ្វើការត្រួតពិនិត្យសុពលភាពឱ្យបានត្រឹមត្រូវនៅក្នុង vRNI REST API ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រ អាចធ្វើការផ្ញើសំណើពិសេស REST API នៅក្នុងប្រព័ន្ធ និងអាចធ្វើប្រតិបត្តិកូដបំពាននៅលើប្រព័ន្ធដែលជាគោលដៅបានដោយជោគជ័យ
  • CVE-2022-31705: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវិធី VMware ESXi, Workstation, និង Fusionដោយសារតែកម្មវិធីមានកំហុសឆ្គង​ boundary នៅក្នុង USB 2.0 controller (EHCI)។ ចោរព័ត៌មានវិទ្យា ឬហេកគ័រ ឬ អ្នកប្រើប្រាស់ដែលមានសិទ្ធិក្នុងតំបន់នៅលើប្រព័ន្ធ អាចធ្វើការវាយប្រហារពីចម្ងាយបាន និងប្រតិបត្តិកូដបំពាននៅពេលកំពុងដំណើរការម៉ាស៊ីននិម្មិត VMX ដែលរងផលប៉ះពាល់បានដោយជោគជ័យ

២. ផលិតផលដែលរងផលប៉ះពាល់

  • –     VMware vRealize Network Insight (vRNI)
  • –     VMware ESXi
  • –     VMware Workstation Pro / Player (Workstation)
  • –     VMware Fusion Pro / Fusion (Fusion)
  • –     VMware Cloud Foundation

៣. ផលវិបាក

ការវាយប្រហារដោយជោគជ័យលើចំណុចខ្សោយខាងលើនេះអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រលួចចូលក្នុងប្រព័ន្ធហើយអាចធ្វើការផ្លាស់ប្តូរ ឬលុបទិន្នន័យនិងបង្កើតគណនីថ្មីជាដើម និងអាចគ្រប់គ្រងលើប្រព័ន្ធទាំងមូលបានតែម្តង។

៤. អនុសាសន៍ណែនាំ

ការិយាល័យ CamCERT សូមផ្តល់អនុសាសន៍ឱ្យអ្នកគ្រប់គ្រងប្រព័ន្ធ និងអ្នកប្រើប្រាស់ទាំងអស់ធ្វើការអាប់ដេតជាបន្ទាន់តាមដែលអាចធ្វើទៅបាន។

៥. ឯកសារពាក់ព័ន្ធ

  • –      https://www.cisa.gov/uscert/ncas/current-activity/2022/12/13/vmware-releases-security-updates-multiple-products
  • –      https://www.vmware.com/security/advisories/VMSA-2022-0031.html
  • –      https://www.vmware.com/security/advisories/VMSA-2022-0033.html
***Disclaimer: CamCERT own some of the content. Our purpose is pure to help spread the awareness, tips or other information related to security to everyone. Even though every information is true, accurate, completed and appropriate, we make no responsibility nor warranty since everything could go wrong.