Patchez VMware vCenter Server pour vous protéger de la faille critique CVE-2023-34048
L'éditeur VMware a mis en ligne un nouveau correctif de sécurité pour combler une faille de sécurité critique présente dans la célèbre application vCenter Server. En l'exploitant, un attaquant peut exécuter du code à distance sur le serveur. Faisons le point !
En environnement professionnel, VMware vCenter Server est utilisé pour gérer plusieurs hyperviseurs VMware ESXi grâce à une console centralisée. Dans les entreprises où il y a plusieurs serveurs VMware ESXi, on retrouve généralement un serveur vCenter, ce qui en fait un produit très populaire.
Grigory Dorodnov, de Trend Micro Zero Day Initiative, a fait la découverte d'une nouvelle faille de sécurité critique dans vCenter Server. Elle se situe dans l'implémentation du protocole DCE/RPC dans l'application de VMware.
Associée à la référence CVE-2023-34048, cette vulnérabilité est critique et hérite d'un score CVSS très élevé : 9.8 sur 10 ! Comme le précise VMware dans son bulletin de sécurité : "Un attaquant disposant d'un accès réseau à vCenter Server peut déclencher une écriture hors limites conduisant potentiellement à l'exécution de code à distance."
Pour le moment, VMware n'a aucune preuve que cette vulnérabilité est exploitée dans des attaques, mais la situation peut évoluer comme toujours.
Par ailleurs, VMware a corrigé la faille de sécurité CVE-2023-34056, moins critique, mais qui peut permettre la divulgation d'informations.
Comment se protéger ?
La réponse est simple et habituelle : vous devez installer le correctif de sécurité mis à disposition par VMware. Puisqu'il s'agit d'une faille critique, VMware a également publié des correctifs pour plusieurs produits en fin de vie et dont le support est déjà terminé. L'installation du correctif de sécurité est obligatoire pour se protéger puisqu'il n'existe pas d'autres mesures d'atténuation possibles.
"Bien que VMware ne mentionne pas les produits en fin de vie dans ses avis de sécurité, en raison de la gravité de cette vulnérabilité et de l'absence de solution de workaround, VMware a mis à disposition un correctif pour vCenter Server 6.7U3, 6.5U3 et VCF 3.x. Pour les mêmes raisons, VMware a mis à disposition des correctifs supplémentaires pour vCenter Server 8.0U1.", peut-on lire sur le site de VMware.
Voici les versions patchées :
- VMware vCenter Server 8.0U2
- VMware vCenter Server 8.0U1d
- VMware vCenter Server 7.0U3o
Bien que la vulnérabilité vient d'être dévoilée, la version 8.0U2 est disponible depuis le mois de septembre 2023, ce qui n'est pas le cas des autres versions dont la mise en ligne est associée à ce bulletin.
