VULNERABILIDADES en productos VMware

 

VMware ha publicado dos boletines de seguridad para corregir varias vulnerabilidades de divulgación de información sensible en VMware Identity Manager, vRealize Automation, en el servidor vCenter, en el cliente vSphere y vRealize Automation.
VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. Por ejemplo, se suele utilizar de forma habitual en la investigación del malware, ya que permite ejecutar y analizar los especímenes en entornos virtuales controlados.

El primer boletín (VMSA-2016-0021) se refiere a una vulnerabilidad, con CVE-2016-5334, en VMware Identity Manager que podría permitir una obtención “parcial” de información. El fallo es similar a una escala de directorio o de directorio transversal, aunque según confirma la compañía solo se puede acceder a archivos de los directorios “/SAAS/WEB-INF” and “/SAAS/META-INF”. Igualmente señala que estos directorios no contienen datos confidenciales pero el problema debe ser corregido igualmente.
Afecta a VMware Identity Manager 2.x y a vRealize Automation 7.x.

Por otra parte, en el boletín VMSA-2016-0022 se refiere a tres vulnerabilidades de Entidad XML Externa (XML External Entity o XXE) en diferentes productos VMware. La primera en el cliente vSphere (CVE-2016-7458); otra afecta a vCenter Server en el Log Browser, en la configuración Distributed Switch y en Content Library (CVE-2016-7459) y por último en vCenter Server y vRealize Automation en la funcionalidad Single Sign-On (CVE-2016-7460). Estos problemas podrían dar lugar a divulgación de información.
Afectan a:

vSphere Client 6.0 y 5.5
vCenter Server 6.0 y 5.5
vRealize Automation 6.x

VMware ha publicado versiones actualizadas para evitar los problemas disponibles desde:
VMware Identity Manager 2.7.1
https://my.vmware.com/web/vmware/info/slug/desktop_end_user_computing/vmware_identity_manager/2_7
vRealize Automation 7.2.0
https://my.vmware.com/en/web/vmware/info/slug/infrastructure_operations_management/vmware_vrealize_automation/7_2
vCenter Server 6.0 U2a y 5.5 U3e
https://www.vmware.com/go/download-vsphere
vRealize Automation 6.2.5
https://my.vmware.com/web/vmware/info/slug/infrastructure_operations_management/vmware_vrealize_automation/6_2

Más información:

VMSA-2016-0021
VMware product updates address partial information disclosure vulnerability
http://www.vmware.com/security/advisories/VMSA-2016-0021.html

VMSA-2016-0022
VMware product updates address information disclosure vulnerabilities
http://www.vmware.com/security/advisories/VMSA-2016-0022.html

VMSA-2016-0021 and VMSA-2016-0022
http://blogs.vmware.com/security/2016/11/vmsa-2016-0021-vmsa-2016-0022.html

 

ver información original al respecto en Fuente:

http://unaaldia.hispasec.com/2016/11/vulnerabilidades-en-productos-vmware.html

__________

NOTA: Los interesados en información sobre contrato de soporte Asistencia Tecnica de SATINFO y/o licencia de uso/actualizaciones de sus utilidades, contacten con info@satinfo.es
__________

Este blog no se hace responsable de las opiniones y comentarios de los textos en los que se cita la Fuente, ofreciendo su contenido solo para facilitar el acceso a la información del mismo.

Puedes seguir cualquier respuesta a esta entrada mediante el canal RSS 2.0. Los comentarios y los pings están cerrados.

Los comentarios están cerrados.

 

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR
Aviso de cookies