Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Risolte gravi vulnerabilità in prodotti VMware

denial-of-service  elevazione dei privilegi  VMware   lunedì, 8 gennaio 2018

VMware ha rilasciato un aggiornamento di sicurezza che corregge tre vulnerabilità di gravità elevata nei prodotti vRealize Operations for Horizon (V4H), vRealize Operations for Published Applications (V4PA), Workstation, Fusion, Horizon View Client e Tools. Se sfruttate con successo, le più gravi di queste vulnerabilità possono consentire ad un attaccante di elevare i propri privilegi, accedere ad informazioni riservate o causare condizioni di denial of service.

Dettagli delle vulnerabilità (in Inglese):

  • V4H and V4PA desktop agent privilege escalation vulnerability (CVE-2017-4946)
  • VMware Workstation and Horizon View Client out-of-bounds read issue via Cortado ThinPrint (CVE-2017-4948)
  • VMware Workstation and Fusion guest access control vulnerability (CVE-2017-4945)

Risultano variamente affetti da queste vulnerabilità i seguenti prodotti VMware:

  • vRealize Operations for Horizon (V4H) versione 6.x per Windows 
  • vRealize Operations for Published Applications (V4PA) versione 6.x per Windows
  • VMware Workstation Pro / Player (Workstation) versioni 12.x e 14.x
  • VMware Fusion Pro / Fusion (Fusion) versioni 8.x e 10.x per macOS
  • Horizon View Client for Windows versione 4.x

È necessario aggiornare i prodotti elencati alle seguenti versioni:

  • vRealize Operations for Horizon Desktop Agent 6.5.1 (anche incluso in Horizon 7.4)
  • vRealize Operations for Published Applications Desktop Agent 6.5.1
  • VMware Workstation Pro / Player 14.1.0 (non è prevista una patch per la versione 12.x)
  • Fusion 10.1.0 (non è prevista una patch per la versione 8.x)
  • Horizon View Client for Windows 4.7.0
  • VMware Tools deve essere aggiornato alla versione 10.2.0 per ogni VM per risolvere la vulnerabilità CVE-2017-4945

Si raccomanda di scaricare ed applicare gli aggiornamenti di sicurezza messi a disposizione da VMware il più presto possibile.

Per maggiori informazioni sulle vulnerabilità, sui prodotti affetti e sugli aggiornamenti disponibili è possibile consultare il seguente avviso di sicurezza di VMware (in Inglese):

Notizie correlate

Aggiornamento di sicurezza Android (maggio 2018)

8 maggio 2018

Google ha rilasciato l'aggiornamento di sicurezza di maggio che risolve svariate vulnerabilità nel sistema operativo Android, le più gravi delle quali potrebbero consentire l'esecuzione di codice da remoto sul dispositivo.Leggi tutto

Vulnerabilità critica in software per applicazioni SCADA e ICS

4 maggio 2018

I ricercatori di Tenable hanno scoperto una vulnerabilità critica negli applicativi software InduSoft Web Studio e InTouch Machine Edition di Schneider Electric.Leggi tutto

Vulnerabilità multiple in PHP

30 aprile 2018

Sono state scoperte diverse vulnerabilità in PHP 5 e 7 che potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario nel contesto dell’applicazione affetta o di causare condizioni di denial of service.Leggi tutto