يكشف VMware عن تصحيحات لمجموعة من العيوب الأمنية، لذا قم بالتحديث الآن – TechToday

eilm

0 9 دقيقة واحدة

يكشف VMware عن تصحيحات لمجموعة من العيوب الأمنية، لذا قم بالتحديث الآن – TechToday

النشرة الإخبارية

Sed ut perspiciatis unde.

يشترك

قامت شركة VMware بتصحيح مجموعة كاملة من الثغرات الأمنية التي تؤثر على عدد من منتجاتها التجارية الرئيسية – ونظرًا لأن بعض العيوب شديدة الخطورة، وستسمح للجهات الفاعلة الخبيثة بتنفيذ التعليمات البرمجية عن بُعد، تنصح الشركة المستخدمين بتطبيق التصحيحات على الفور.

وفقًا لاستشارات الأمان الخاصة بشركة VMware، قامت الشركة بتصحيح أربع نقاط ضعف: CVE-2024-22252، وCVE-2024-22253، وCVE-2024-22254، وCVE-2024-22255. تؤثر هذه العيوب على منتجات ESXi وWorkstation وFusion.

تم وصف العيبين الأولين على أنهما عيوب بعد الاستخدام في وحدة تحكم XHCI USB، مما يؤثر على جميع المنتجات الثلاثة. بالنسبة لـ Workstation وFusion، فإنهما يحملان درجة خطورة تبلغ 9.3، بينما بالنسبة لـ ESXi، تبلغ 8.4.

الحلول المتاحة

وقالت الشركة: “قد يستغل ممثل خبيث يتمتع بامتيازات إدارية محلية على جهاز افتراضي هذه المشكلة لتنفيذ التعليمات البرمجية أثناء تشغيل عملية VMX للجهاز الظاهري على المضيف”. “في ESXi، يتم الاستغلال ضمن صندوق حماية VMX، بينما في Workstation وFusion، قد يؤدي ذلك إلى تنفيذ التعليمات البرمجية على الجهاز الذي تم تثبيت Workstation أو Fusion عليه.”

تم وصف العيبين الآخرين على أنهما عيب كتابة خارج الحدود في ESXi (درجة الخطورة 7.9)، وثغرة أمنية في الكشف عن المعلومات في وحدة تحكم USB UHCI (درجة الخطورة 7.9). يمكن استخدام هذين الجهازين للهروب من وضع الحماية وتسريب الذاكرة من عمليات vmx.

للتأكد من أن نقاط النهاية الخاصة بهم آمنة، يجب على المستخدمين إحضار المنتجات إلى هذه الإصدارات:

إي إس إكس آي 6.5 – 6.5U3v
إي إس إكس آي 6.7 – 6.7U3u
إي إس إكس آي 7.0 – ESXi70U3p-23307199
ESXi 8.0 – ESXi80U2sb-23305545 وESXi80U1d-23299997
VMware Cloud Foundation (VCF) 3.x
محطة العمل 17.x – 17.5.1
فيوجن 13.x (ماك) – 13.5.1

يجب على أولئك الذين لا يستطيعون تطبيق التصحيح على الفور إزالة كافة وحدات تحكم USB من أجهزتهم الافتراضية، كإجراء بديل.

وقالت الشركة: “بالإضافة إلى ذلك، لن تكون أجهزة USB الافتراضية/المحاكية، مثل VMware Virtual USB Stick أو dongle، متاحة للاستخدام بواسطة الجهاز الظاهري”. “على النقيض من ذلك، لا تتأثر لوحة المفاتيح/الماوس الافتراضية كأجهزة إدخال لأنها، بشكل افتراضي، غير متصلة عبر بروتوكول USB ولكن لديها برنامج تشغيل يقوم بمحاكاة جهاز البرنامج في نظام التشغيل الضيف.

عبر أخبار الهاكر