Múltiples vulnerabilidades en productos de VMware

Fecha de publicación: 
14/11/2017
Importancia: 
4 - Alta
Recursos afectados: 
  • Airwatch Console 9.x
  • Airwatch Launcher para Android x.x
  • vCenter Server  versiones 6.5, 6.0, 5.5
Descripción: 

Se ha alertado de múltiples vulnerabilidades en varios productos de VMware, que podrían provocar la redireccion a URLs maliciosas o una escalada de privilegios en la máquina anfitriona.

Solución: 

Actualización a la ultima versión de los productos desplegados.

Detalle: 

Las vulnerabilidades identificadas son las siguientes:

  • Vulnerabilidad XSS en VMware AirWatch Console

VMware AirWatch Console contiene una vulnerabilidad que podría permitir a un usuario de AWC autenticado agregar una URL maliciosa a la página 'Enlaces' de un dispositivo inscrito. La explotación exitosa de este problema podría ocasionar que un usuario AWC desprevenido sea redireccionado a una URL maliciosa.

Se ha reservado el siguiente identificador: CVE-2017-4930.

  • Vulnerabilidad de integridad de archivos CSV de VMware AirWatch Console

VMware AirWatch Console tiene una vulnerabilidad que podría permitir que un usuario autenticado de AWC agregue datos maliciosos a los archivos de registro de un dispositivo registrado. 

Se ha reservado el siguiente identificador: CVE-2017-4931.

  • Escalada de privilegios en VMware AirWatch Launcher para Android UI

VMware AirWatch Launcher para Android contiene una vulnerabilidad que podría permitir una escalada de privilegios desde el menú contextual de la interfaz de usuario del iniciador a la funcionalidad y el privilegio de la IU nativa. La explotación exitosa de este problema podría resultar en una escalada de privilegios.

Se ha reservado el siguiente identificador: CVE-2017-4932 .

  • Denegacion de servicio en VMware vCenter Server LDAP

VMware vCenter Server no procesa correctamente los paquetes de red LDAP especialmente diseñados lo que pueden permitir DoS remoto.

Se ha reservado el siguiente identificador: CVE-2017-4927.

  • Problemas de inyección SSRF y CRLF en el cliente vSphere Web 

El cliente web vSphere basado en Flash (es decir, no el nuevo cliente vSphere basado en HTML5) tiene problemas de falsificación de solicitudes del lado del servidor (SSRF) y de inyección CRLF debido a una neutralización inadecuada de las URLs. Un atacante puede explotar estos problemas enviando una solicitud POST con encabezados modificados hacia los servicios internos que conducen a la divulgación de información.

Se ha reservado el siguiente identificador: CVE-2017-4928.