VMware | 多个清静误差通告

宣布时间 2020-05-31

0x00 误差概述



产品

CVE ID

类 型

误差品级

远程使用

影响规模

ESXi,Workstation,Fusion,VMRC for Mac,Horizon Client for Mac

CVE-2020-3957

LPE

高危

否

Fusion 11.x

VMRC for Mac <= 11.x

Horizon Client for Mac <= 5.x

CVE-2020-3958

DOS

中危

是

ESXi 6.5,6.7

Workstation 15.x

Fusion 11.x

CVE-2020-3959

ML

低危

否



0x01 误差详情


尊龙凯时·(中国区)人生就是搏!


VMware虚拟机软件，是全球桌面到数据中心虚拟化解决计划的向导厂商。全球差别规模的客户依赖VMware来降低本钱和运营用度、确保营业一连性、增强清静性并走向绿色。

2020年5月28日VMware宣布清静更新，修复了VMware ESXi，Workstation，Fusion，VMware Remote Console和Horizon Client中的多个清静误差（CVE-2020-3957，CVE-2020-3958，CVE-2020-3959），详细信息如下：

CVE-2020-3957是VMware Fusion，VMRC和Horizon Client产品中的外地特权升级误差。该误差源于服务开启程序中的检查时间使用时间（TOCTOU）问题，攻击者可使用此误差将通俗用户权限提升至root权限。

CVE-2020-3958是VMware ESXi，Workstation和Fusion产品中的Shader功效的拒绝服务误差。要使用此误差，攻击者必需能够会见启用了3D图形的虚拟机（在ESXi上默认未启用，在Workstation和Fusion上默认已启用）。攻击者可使用此误差使虚拟机的vmx历程瓦解，从而导致拒绝服务。

CVE-2020-3959是VMware ESXi，Workstation和Fusion产品中的VMCI� ？橹械哪诖孀呗┪蟛�。具有外地非治理员权限的攻击者可使用该误差使虚拟机的vmx历程瓦解，从而导致拒绝服务。


0x02 处置惩罚建议


现在厂商已宣布升级补丁以修复误差，针对差别的产品和误差有详细的修复版本，参考以下表格：


尊龙凯时·(中国区)人生就是搏!


尊龙凯时·(中国区)人生就是搏!


尊龙凯时·(中国区)人生就是搏!


0x03 相关新闻


https://www.basquecybersecurity.eus/es/avisos/tecnicos/multiples-vulnerabilidades-productos-vmware-20200529.html


0x04 参考链接


https://www.vmware.com/security/advisories/VMSA-2020-0011.html


0x05 时间线


2020-05-28 VMware宣布误差通告

2020-06-01 VSRC宣布误差通告

尊龙凯时·(中国区)人生就是搏!