Support technique
Documentation
Connexion
Nous contacter
Cisco et VMware corrigent des failles de sécurité critiques
1er mai 2023 - L'équipe de relations publiques de TuxCare
Cisco et VMware ont publié des correctifs de sécurité pour remédier à de graves failles de sécurité que des acteurs malveillants pourraient exploiter pour exécuter un code arbitraire sur des ordinateurs vulnérables.
Un trou d'injection de commande dans Cisco Industrial Network Director (CVE-2023-20036, CVSS score : 9.9) permet à un attaquant d'exécuter des commandes arbitraires en tant que NT AUTHORITYSYSTEM sur le système d'exploitation sous-jacent d'un appareil compromis est la vulnérabilité la plus sérieuse. Ce problème existe dans le composant web UI et est causé par une validation d'entrée incorrecte lors du téléchargement de Device Pack.
Cisco a attribué la découverte de ces deux problèmes à un chercheur externe non identifié. En outre, Cisco a corrigé une vulnérabilité de gravité modérée concernant les autorisations de fichiers dans le même produit (CVE-2023-20039, CVSS score : 5.5) qu'un attaquant local autorisé pourrait exploiter pour accéder à des données personnelles. Les correctifs sont disponibles dans la version 1.11.3.
Cisco a également corrigé une autre faille critique dans le mécanisme d'authentification externe de la plateforme de simulation de réseau Modeling Labs. La vulnérabilité, identifiée comme CVE-2023-20154 (CVSS score : 9.1), pourrait permettre à un attaquant distant non authentifié d'obtenir un accès administratif à l'interface web. Avec la sortie de la version 2.5.1, la faille a été corrigée.
VMware a également publié un avis de sécurité concernant un bogue critique de désérialisation qui affecte différentes versions d'Aria Operations for Logs (CVE-2023-20864, CVSS score : 9.8). Des acteurs malveillants non authentifiés disposant d'un accès réseau à VMware Aria Operations for Logs peuvent être en mesure d'exécuter du code arbitraire en tant que root. Cette vulnérabilité a été corrigée dans VMware Aria Operations for Logs 8.12, couplée à une faille d'injection de commande de haute sévérité (CVE-2023-20865, CVSS score : 7.2) qui pourrait permettre à un attaquant disposant de capacités d'administration d'exécuter des commandes arbitraires en tant que root. Cet avertissement intervient environ trois mois après que VMware a corrigé deux vulnérabilités majeures dans le même produit (CVE-2022-31704 et CVE-2022-31706, scores CVSS : 9.8) qui pourraient conduire à l'exécution de code à distance.
Les sources de cet article comprennent un article de TheHackerNews.
