Программный сервер VMware позволяет перехватывать контроль над ОС Windows и Linux

«Инъекция команды» в консоли VMware Workspace One допускает для обладателей администраторских полномочий выступать в качестве администратора и для подлежащей операционной системы.
Компания VMware признала наличие критической уязвимости во множественных компонентах своего решения VMware Workspace One — центрального сервера для управления устройствами. Уязвимость позволяет запускать произвольные команды на уровне операционной системы хоста под Linux или Windows. Полноценного исправления еще не выпущено, но компания опубликовала промежуточный вариант решения проблемы.
Уязвимость CVE-2020-4006 относится к классу «инъекция команды» и затрагивает административный конфигуратор в некоторых версиях Workspace One Access, а также Identity Manager и Identity Manager Connector.
Степень угрозы по шкале CVSS составляет 9,1 из 10 баллов.
Уязвимость CVE-2020-4006 затрагивает VMware Workspace One Access 20.10 (под Linux), VMware Workspace One Access 20.01 (Linux),VMware Identity Manager 3.3.1-3.3.3 (Linux),VMware Identity Manager Connector 3.3.2, 3.3.1 (Linux), VMware Identity Manager Connector 3.3.3, 3.3.2, 3.3.1 (Windows).
Полноценное исправление будет выпущено в ближайшее время. Пока же VMware предлагает временное решение: ряд команд, которые блокируют вектор возможной атаки, но вместе с ними — и возможность вносить какие-либо изменения в конфигуратор.
Подробнее на сайте: https://safe.cnews.ru/news/top/2020-11-25_programmnyj_server_vmware_otkryvaet