Une vulnérabilité dans VMware Workstation et Player
Deux produits de chez VMware sont affectés par une vulnérabilité, il s'agit de VMware Workstation version 8.x et 9.x ainsi que le logiciel gratuit VMware Player 4.x et 5.x.
Cette vulnérabilité permet à l'attaquant de bénéficier d'une élévation de privilège sur la machine cible. Toutefois, ceci est possible uniquement dans le cas où l'application est installée sur Debian ou sur une distribution basée sur Debian.
Cependant, obtenir l'élévation en root sur la machine hôte n'autorise pas des droits privilégiés dans le système d'exploitation invité c'est à dire dans la machine virtuelle.
Tavis Ormandy qui fait partie de l'équipe de sécurité Google a remonté l'information concernant cette vulnérabilité au près de VMware.
Pour corriger le problème sous VMware Player, il faut retirer le bit "setuid" de vmware-mount. VMware fournit d'ailleurs la commande suivante :
#chmod u-s /usr/bin/vmware-mount
Sur VMware Workstation, vous pouvez directement remplacer votre version de vmware-mount par une version corrigée et disponible sur la page de téléchargement de VMware Workstation.
https://www.vmware.com/go/downloadworkstation
Référence CVE du Mitre : CVE-2013-1662
