296/66 (IT) ประจำวันศุกร์ที่ 9 มิถุนายน 2566
เมื่อวันพุธที่ผ่านมา VMware ได้ออกแพตช์เร่งด่วนเพื่อแก้ไขช่องโหว่ในผลิตภัณฑ์ Aria Operations for Networks โดยเตือนว่าช่องโหว่ดังกล่าวสามารถทำให้ถูกโจมตีได้จากระยะไกล โดยเป็นช่องโหว่ระดับวิกฤตจำนวน 3 รายการ
ช่องโหว่แรกเป็นช่องโหว่ Command Injection หมายเลข CVE-2023-20887 ซึ่งมีคะแนน CVSSv3 อยู่ที่ 9.8/10 ซึ่งผู้โจมตีสามารถเข้าถึงเครือข่าย VMware Aria Operations for Networks ซึ่งอาจสามารถโจมตีด้วยการแทรกคำสั่งซึ่งส่งผลให้มีการเรียกใช้โค้ดจากระยะไกล VMware Aria Operations for Networks หรือเดิมคือ vRealize Network Insight โดยองค์กรต่าง ๆ ใช้เพื่อตรวจสอบ ค้นพบ และวิเคราะห์เครือข่ายและแอปพลิเคชันเพื่อสร้างโครงสร้างพื้นฐานเครือข่ายที่ปลอดภัยบนคลาวด์
ช่องโหว่ที่สองเป็นช่องโหว่ Authenticated Deserialization หมายเลข CVE-2023-20888 มีคะแนน CVSSv3 อยู่ที่ 9.1/10 ซึ่งเป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีสามารถเข้าถึงเครือข่ายและข้อมูลประจำตัวของสมาชิกและเปิดการโจมตี deserialization ซึ่งส่งผลให้มีการเรียกใช้โค้ดจากระยะไกล
ช่องโหว่สุดท้ายที่บริษัทได้แก้ไขคือ ช่องโหว่ในการเปิดเผยข้อมูลหมายเลข CVE-2023-20889 มีคะแนน CVSSv3 อยู่ที่ 8.8/10 ซึ่งช่วยให้ผู้โจมตีสามารถเข้าถึงเครือข่ายไปยัง VMware Aria Operations for Networks ทำการโจมตีด้วยการป้อนคำสั่งซึ่งส่งผลให้มีการเปิดเผยข้อมูลที่ละเอียดอ่อน
แหล่งข่าว ( https://www.securityweek.com/vmware-plugs-critical-flaws-in-network-monitoring-product/ )
