VMware Tools és Workstation sérülékenységek

CH azonosító: CH-14595 Cím: VMware Tools és Workstation sérülékenységek Angol cím: VMware Tools and Workstation vulnerabilities

Publikálás dátuma: 2019.06.14.


Leírás

A VMware Tools és Workstation sérülékenységek váltak ismertté, melyeket kihasználva a támadó szolgáltatásmegtagadásos támadást idézhet elő, valamint tetszőleges kódot futtathat az érintett rendszeren.

Leírás utolsó módosítása: 2019.06.14.


Elemzés leírás

A vendég operációs rendszerre telepített VMware Tools sérülékenységét a vm3dmp driver hibás memóriakezelési műveletei okozzák. A vendég Windows rendszerhez – amelyre a VMware Tools telepítve van – nem adminisztrátori hozzáféréssel rendelkező helyi támadó a hibát kihasználva kernel információkhoz férhet hozzá, vagy szolgáltatás-megtagadást idézhet elő. A sebezhetőségben a 10.x verziók érintettek.

AWorkstation az Advanced Linux Sound Architecture (ALSA) use-after-free hibája miatt sérülékeny. A vendég rendszeren egy normál jogosultságokkal rendelkező helyi felhasználó több más hibával együtt kihasználhatja a sebezhetőséget, ezáltal tetszőleges kódot futtathat a hoszt Linux rendszeren. A sebezhetőségben csak a Linuxra kiadott 15.x verziók érintettek.

Érintett verzió:
Workstation 15.x
VMware Tools 10.x

Megoldás:
Frissítsen a Tools 10.3.10, illetve a Workstation for Linux 15.1.0 vagy magasabb verziókra.


Hatás

CVSS3 Severity and Metrics

Base score: 8.8 (Magas)
Vector: AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H (V3 legend)
Impact Score: Impact Score: 6.0
Exploitability Score: Exploitability Score: 2.0


Attack Vector (AV): Local
Attack Complexity (AC): Low
Privileges Required (PR): Low
User Interaction (UI): None
Scope (S): Changed
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A):

CVSS2 Severity and Metrics

Base score: 7.2 (Magas)
Vector: Vector: (AV:L/AC:L/Au:N/C:C/I:C/A:C) (V2 legend)
Impact Subscore: Impact Subscore: 10.0
Exploitability Subscore: Exploitability Subscore: 3.9


Access Complexity (AC): Low
Confidentiality Impact (C): Complete
Integrity Impact (S): Complete
Availability Impact (A):


Hivatkozások

https://www.vmware.com/security/advisories/VMSA-2019-0009.html
https://tools.cisco.com/security/center/viewAlert.x?alertId=60331
CVE-2019-5522 - NVD CVE-2019-5522
CVE-2019-5525 - NVD CVE-2019-5525