427/67 (IT) ประจำวันศุกร์ที่ 29 พฤศจิกายน 2567
VMware ได้ออกอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ 5 รายการในผลิตภัณฑ์ Aria Operations (ชื่อเดิม VMware vRealize Operations) ซึ่งเป็นแพลตฟอร์มการจัดการและดำเนินงานระบบคลาวด์แบบครบวงจร โดยช่องโหว่เหล่านี้อาจถูกใช้เพื่อยกระดับสิทธิ์ (Privilege Escalation) และโจมตีแบบ Cross-Site Scripting (XSS) โดยมีรายละเอียดช่องโหว่ดังนี้
– CVE-2024-38830 (CVSS 7.8) ซึ่งทำให้ผู้ดูแลระบบ (Local Admin) ใน Aria Operations ยกระดับสิทธิ์เป็นผู้ใช้งานระดับ root
– CVE-2024-38831 (CVSS 7.8) ทำให้ผู้โจมตีที่มีสิทธิ์ระดับผู้ดูแลระบบภานในเครื่องบน VMware Aria Operations สามารถแก้ไขไฟล์คุณสมบัติ (Properties File) เพื่อ execute malicious commands และยกระดับสิทธิ์เป็น root
– CVE-2024-38832 (CVSS 7.1) ช่องโหว่ Stored XSS ที่ช่วยให้ผู้โจมตีที่มีสิทธิ์แก้ไขมุมมอง (Views) สามารถแทรกสคริปต์ที่เป็นอันตราย (Inject Malicious Scripts) ซึ่งอาจนำไปสู่การโจมตีในระบบ VMware Aria Operations
– CVE-2024-38833 (CVSS 6.8) ช่องโหว่ Stored XSS ที่เกิดจากการแก้ไขเทมเพลตอีเมล (Email Templates) ใน Aria Operations ทำให้ผู้โจมตีสามารถแทรกสคริปต์อันตรายได้
– CVE-2024-38834 (CVSS 6.5) ช่องโหว่ Stored XSS ซึ่งเปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์แก้ไขการตั้งค่าผู้ให้บริการคลาวด์ใน Aria Operations สามารถแทรกสคริปต์ที่เป็นอันตรายได้
ผู้ใช้งานที่ใช้ VMware Aria Operations ควรรีบดำเนินการอัปเดตระบบเพื่อป้องกันความเสี่ยงจากช่องโหว่ดังกล่าวทันที
แหล่งข่าว https://securityaffairs.com/171472/security/vmware-fixed-five-vulnerabilitiesaria-operations.html
