CVE-2021-22048 est une vulnérabilité d'escalade de privilèges de haute gravité dans le mécanisme VMware vCenter Server IWA, qui affecte également la plateforme hybride Cloud Foundation. Huit mois après la divulgation de la vulnérabilité, la société a publié un correctif pour l'une des versions concernées.
Selon la description originale de CVE, le vCenter Server contient une vulnérabilité d'élévation de privilèges dans l'IWA (Authentification Windows intégrée) mécanisme d'authentification. En termes de comment la vulnérabilité peut être exploitée, un acteur malveillant disposant d'un accès non administratif à vCenter Server pourrait tirer parti de la faille pour élever les privilèges à un groupe à privilèges plus élevés.
Correction partielle disponible pour CVE-2021-22048
CVE-2021-22048 affecte plusieurs versions de vCenter Server, mais une mise à jour a été publiée uniquement pour vCenter Server 7.0 Mise à jour 3f. En d'autres termes, le correctif est disponible uniquement pour les serveurs exécutant la dernière version (plus d'informations sur La version).
Quand la vulnérabilité a été signalée pour la première fois, la société a proposé une solution de contournement qui impliquait le basculement de la configuration de la source d'identité SSO d'IWA vers l'une des options suivantes:
- Authentification Active Directory sur LDAP;
- Fédération de fournisseur d'identité pour AD FS (vSphere 7.0 seulement).
CVE-2021-22005 est un exemple d'une autre vulnérabilité dangereuse de vCenter. L'état de gravité de la vulnérabilité était basé sur le fait que quiconque pouvait atteindre vCenter Server sur le réseau pour y accéder pouvait abuser du problème., quels que soient les paramètres de configuration de vCenter Server. Cela incluait également les acteurs de la menace de ransomware, les chercheurs en sécurité ont souligné.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: