VMware vient d'annoncé, dans son bulletin de sécurité VMSA-2020-0009, deux vulnérabilités (CVE-2020-11651, CVE-2020-11652) impactant VMware vRealize Operations Manager depuis la version 7.5.
C'est l'Application Remote Collector (ARC) de vRealize Operations Manager qui est touché par ces deux vulnérabilités :
- CVE-2020-11651 de type "Authentication Bypass" avec un score de 10.0 dans la base CVSSv3. Cette vulnérabilité permet à un auteur malveillant ayant un accès aux ports TCP 4505 ou 4506 de l'ARC d'en prendre contrôle ainsi toute machine virtuelle sur laquelle l'ARC aurait déployé un agent Telegraf.
- CVE-2020-11652 de type "Directory Traversal" avec une sévérité de 7.5 dans la base CVSSv3. Cette vulnérabilité permet à un auteur ayant accès aux ports TCP 4505 ou 4506 de l'ARC d'accéder à l'intégralité du système de fichiers de l'ARC.
Ces deux vulnérabilités touchent toutes les versions de VMware vRealize Operations Manager depuis la 7.5 :
- 7.5
- 8.0.x
- 8.1 .0
Pour l'instant la solution de contournement proposée par VMware dans le KB79031 consiste à bloquer les ports TCP 4505 et 4506.
Une mise à jour est prévue par VMware.