VMware Avi Load Balancer: Schwachstelle legt Informationen offen
VMware hat kĂŒrzlich ein Advisory fĂŒr den VMware Avi Load Balancer herausgegeben, um mehrere SicherheitsanfĂ€lligkeiten zu beheben, die unter den Kennungen CVE-2024-22264 und CVE-2024-22266 gefĂŒhrt werden. Diese Schwachstellen wurden erstmals am 7. Mai 2024 identifiziert und am selben Tag in einem initialen Sicherheitshinweis veröffentlicht.
Die erste Schwachstelle, CVE-2024-22264, betrifft eine Privilegienerweiterung, durch die ein Angreifer mit Administratorrechten in der Lage ist, als Root-Benutzer Dateien auf dem Hostsystem zu erstellen, zu Ă€ndern, auszufĂŒhren oder zu löschen. Diese AnfĂ€lligkeit wurde als wichtig eingestuft, mit einem maximalen CVSSv3-Basisscore von 7,2. Um diese zu beheben, empfiehlt VMware ein Update auf die in der ‘Fixed Version’-Spalte der ‘Response Matrix’ angegebene Version.
Die zweite SicherheitslĂŒcke, CVE-2024-22266, ermöglicht die Offenlegung von Informationen, da Systemprotokolle Cloud-Verbindungsinformationen im Klartext enthalten können. Diese Schwachstelle wurde als moderat schwerwiegend bewertet, mit einem maximalen CVSSv3-Basisscore von 6,5.
Beide Updates stehen zum Download zur VerfĂŒgung und können ĂŒber die offiziellen VMware-Portale bezogen werden. VMware betont, dass es keine Workarounds oder zusĂ€tzliche Dokumentationen fĂŒr diese Schwachstellen gibt und rĂ€t dringend zur Installation der Updates, um potenzielle Risiken zu minimieren.
Die Entdeckung dieser Schwachstellen wurde den VMware-Sicherheitsforschern Max Rozendaal und Robin Wolters von Secura B.V. zugeschrieben.