保安警報 (A19-12-02): VMware 產品漏洞

描述:

VMware發布了一個安全公告，以應對於VMware ESXi 及 Horizon桌面即服務(DaaS) 設備使用的 OpenSLP 中的一個遠端執行程式碼漏洞。可以通過網絡訪問受影響系統上端口427的遠端攻擊者可能會蓋寫OpenSLP服務堆。

受影響的系統:

• VMware ESXi 6.0, 6.5, 6.7 版本
• VMware Horizon DaaS 8.x 版本

影響:

成功利用這個漏洞可以在受影響的系統上導遠端執行程式碼。

建議:

產品供應商在其網站發布了新版本及解決方法以應對問題。

• VMware ESXi 6.0, 6.5, 6.7
  https://my.vmware.com/group/vmware/patch
  
  
• VMware Horizon DaaS 解決方法
  https://kb.vmware.com/s/article/76411

受影響系統的系統管理員應遵從產品供應商的建議，立即採取行動以降低風險。

進一步資訊:

https://www.vmware.com/security/advisories/VMSA-2019-0022.html
https://www.us-cert.gov/ncas/current-activity/2019/12/06/vmware-releases-security-updates-esxi-and-horizon-daas
https://www.hkcert.org/my_url/zh/alert/19120901
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5544