Descripción:

El investigador Jari Jääskelä (@JJaaskela) y la empresa IT.NRW han reportado 2 vulnerabilidades: 1 de severidad crítica y otra alta, respectivamente. La explotación de estas vulnerabilidades podría permitir a un atacante acceder al sistema operativo subyacente del servidor o a información sensible, así como escalar privilegios.

Recursos afectados:

Carbon Black App Control, versiones:

• 8.9.x;
• 8.8.x;
• 8.7.x.
• vRealize Orchestrator, versiones 8.x.
• vRealize Automation, versiones 8.x.
• Cloud Foundation, versiones 4.x.

Solución:

Actualizar los productos afectados a las siguientes versiones:

Carbon Black App Control:

• 8.9.4;
• 8.8.6;
• 8.7.8;
• vRealize Orchestrator 8.11.1.
• vRealize Automation 8.11.1.
• Cloud Foundation KB90926.

Detalle:

La vulnerabilidad crítica de inyección podría permitir a un atacante, con privilegios elevados y acceso a la consola de administración de App Control, utilizar entradas especialmente diseñadas para acceder al sistema operativo del servidor. Se ha asignado el identificador CVE-2023-20858 para esta vulnerabilidad.
La vulnerabilidad alta de XML External Entity (XXE) podría permitir a un atacante, sin privilegios administrativos y con acceso a vRealize Orchestrator, usar entradas especialmente diseñadas para saltarse las restricciones de análisis de XML, permitiendo el acceso a información sensible o una posible escalada de privilegios. Se ha asignado el identificador CVE-2023-20855 para esta vulnerabilidad.

Referencias:
https://www.vmware.com/security/advisories/VMSA-2023-0004.html
https://www.vmware.com/security/advisories/VMSA-2023-0005.html