虚拟化巨头VMware于6月9日新发布了多个安全补丁，以解决VMware Aria Operations for Networks中的三个严重漏洞——未经身份验证的攻击者可利用它来远程执行任意代码、访问敏感信息。

VMware Aria Operations for Networks是一个网络可见性和分析工具，以前被称为vRealize Network Insight（vRNI），它能够帮助管理员优化网络性能或管理扩展各种VMware和Kubernetes部署，以构建一个优化、高度可用且安全的网络基础设施。

VMware修复的三个安全漏洞中最严重的是一个命令注入漏洞（CVE-2023-20887，CVSSv3评分9.8），能够被未经身份验证的攻击者在不需要用户交互的低复杂度攻击中利用。VMware表示：“具有VMware Aria Operations for Networks网络访问权限的恶意行为者可能能够执行命令注入攻击，从而导致远程代码执行。” 

利用VMware修复的第二个漏洞（CVE-2023-20888，CVSSv3评分9.1），假如攻击者拥有对目标设备的网络访问权限以及有效“成员”角色凭据，就有可能进行成功的反序列化攻击，从而导致远程代码执行。

修复的最后一个漏洞是一个信息泄露漏洞（CVE-2023-20889，CVSSv3评分8.8），使恶意行为者可以在成功的命令注入攻击后访问敏感信息。

据VMware官网公告，影响VMware Aria Operations Networks版本6.x的三个漏洞已在以下版本中得到修复：6.2、6.3、6.4、6.5.1、6.6、6.7、6.8、6.9和6.10。由于没有缓解措施，强烈建议受影响的用户及时下载修复补丁以防止受到攻击。

详细操作步骤请参照VMware官网链接：https://kb.vmware.com/s/article/92684

编辑：左右里

资讯来源：VMware

转载请注明出处和本文链接