VMware rilascia aggiornamenti di sicurezza per “vRealize Operations for Horizon Adapter”

21/02/2020

CVE-2020-3943 CVE-2020-3944 CVE-2020-3945 VMware

 

VMware ha rilasciato una serie di aggiornamenti di sicurezza per risolvere diverse vulnerabilità nel prodotto vRealize Operations for Horizon Adapter, software che estende le funzionalità di VMware vRealize Operations Manager al fine di monitorare e gestire gli ambienti VMware Horizon raccogliendo dati sulle risorse e presentandoli in dashboard utili per analisi e monitoraggio in tempo reale. Un utente malintenzionato remoto potrebbe sfruttare alcune di queste vulnerabilità per assumere il controllo di un sistema affetto dalle falle.

Dettagli sulle vulnerabilità

  • Vulnerabilità CVE-2020-3943 legata all’esecuzione di codice in modalità remota:
    • vRealize Operations for Horizon Adapter utilizza un servizio RMI JMX non configurato in modo sicuro. VMware ha valutato la vulnerabilità come “critica” in quanto un utente malintenzionato remoto non autenticato, che dispone dell’accesso di rete a vRealize Operations con l’adattatore Horizon in esecuzione, potrebbe essere in grado di eseguire codice arbitrario in vRealize Operations.
    • Le versioni impattate sono la 6.6.x e la 6.7.x per i sistemi Windows.
  • Vulnerabilità CVE-2020-3944 di bypass dell’autenticazione dell’adattatore Horizon:
    • vRealize Operations for Horizon Adapter ha una configurazione del truststore non corretta che permette di superare i controlli di autenticazione. VMware ha valutato la vulnerabilità come “Importante” in quanto un utente malintenzionato remoto non autenticato, che ha accesso alla rete per vRealize Operations con l’adattatore Horizon in esecuzione, potrebbe essere in grado di superare il controllo di autenticazione dell’adattatore.
    • Le versioni impattate sono la 6.6.x e la 6.7.x per i sistemi Windows
  • Vulnerabilità CVE-2020-3945 legata alla divulgazione di informazioni sull’adattatore Horizon:
    • vRealize Operations for Horizon Adapter contiene una vulnerabilità legata alla divulgazione di informazioni a causa dell’implementazione errata dell’accoppiamento tra vRealize Operations for Horizon Adapter e Horizon View. VMware ha valutato la vulnerabilità come “moderata”, in tal caso un utente malintenzionato remoto non autenticato che dispone dell’accesso di rete a vRealize Operations, con l’adattatore Horizon in esecuzione, può acquisire informazioni riservate che possono essere utilizzate per superare il meccanismo di autenticazione dell’adattatore.
    • Le versioni impattate sono la 6.6.x e la 6.7.x per i sistemi Windows

Conclusioni

Considerata l’assenza di specifici workaround, utili per far fronte alle vulnerabilità sopra esposte, il CERT-PA raccomanda di eseguire l’aggiornamento dei prodotti vulnerabili invitando a consultare il bollettino di sicurezza emesso dal produttore.