VMware, VMware ESXI, iş istasyonu, füzyon ve bulut temel ürünlerindeki kritik sanal alan kaçış güvenlik açıklarını düzeltmek için güvenlik güncellemeleri yayınladı ve saldırganların sanal makinelerden kaçmasına ve ana bilgisayar işletim sistemine erişmesine izin verdi.
Bu tür kusurlar, saldırganların bir hipervizörün kurulduğu veya aynı ana bilgisayarda çalışan diğer sanal makinelere eriştiği, izolasyonlarını ihlal ettiği diğer sanal makinelere erişmesine izin verebilecekleri için kritiktir.
Danışma, CVE-2024-22252, CVE-2024-22253, CVE-2024-22254 ve CVE-2024-22255 olarak izlenen dört güvenlik açıkını özetlemektedir. .
Dört kusur aşağıdaki gibi özetlenebilir:
Etkilenen sürüm ürünleri ve sabit sürümleri aşağıdaki tabloda listelenmiştir:
CVE-2024-22252, CVE-2024-22253 ve CVE-2024-22255'i azaltmak için pratik bir çözüm. Satıcı tarafından sağlanan talimatları izleyerek USB denetleyicilerini sanal makinelerden çıkarmaktır. Bunun bazı yapılandırmalarda klavye, fare ve USB çubuk bağlantısını etkileyebileceğini unutmayın.
VMware, güvenlik açıklarının ciddiyeti nedeniyle eski ESXI sürümleri (6.7U3U), 6.5u3U), 6.5u3V) ve VCF 3.x için güvenlik düzeltmelerini sağladığını belirtmek gerekir.
Son olarak, satıcı, bültene eşlik etmek için bir SSS yayınladı, belirli ürünler ve konfigürasyonlar için yanıt planlaması ve geçici çözüm/düzeltme uygulaması konusunda hızlı bir şekilde yama ve rehberlik sağlama önemini vurguladı.
VMware, dört kusurun aktif sömürüsünü gösteren herhangi bir rapor gözlemlemiştir veya almıştır. Sistem yöneticilerinin, sömürü durumunun değişmesi durumunda proaktif uyarılar için VMA posta listesine abone olmaları önerilir.
VMware, yöneticileri kullanımdan kaldırılmış, savunmasız auth eklentisini kaldırmaya çağırıyor
GitLab, kritik sıfır tıklama hesabını kaçırmak güvenlik açığını uyarır
AnyCubic düzeltmeleri, yeni ürün yazılımı ile sömürülen 3D yazıcı sıfır gün kusuru
Apple, iPhone'lara yönelik saldırılarda sömürülen iki yeni iOS sıfır gününü düzeltir
AnyCubic 3D yazıcılar, güvenlik kusurunu ortaya çıkarmak için dünya çapında hacklendi
Kaynak: Bleeping Computer