Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] VMware Aria Operations opravuje 5 zraniteľností

VMware Aria Operations vo verziách 8.18.2 opravuje 5 zraniteľností [1].

VMware Aria Operations - eskalácia oprávnení (CVE-2024-38830)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi s administrátorskými právami je umožnená eskalácia oprávnení na typ root [1].

Zraniteľnosť sa nachádza v produktoch:

  • VMware Aria Operations; >=8, <8.18.2;
  • VMware Cloud Foundation; >=5, <=5.2.1;
  • VMware Cloud Foundation; >=4, <=4.5.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

VMware Aria Operations - eskalácia oprávnení (CVE-2024-38831)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi s administrátorskými právami je vložením škodlivých príkazov do súboru "properties" umožnená eskalácia oprávnení na typ root [1].

Zraniteľnosť sa nachádza v produktoch:

  • VMware Aria Operations; >=8, <8.18.2;
  • VMware Cloud Foundation; >=5, <=5.2.1;
  • VMware Cloud Foundation; >=4, <=4.5.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-38831 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

VMware Aria Operations - XSS (CVE-2024-38832)
CVSS 7.1 (High)

Autentizovanému vzdialenému útočníkovi s oprávnením na úpravy zobrazení je umožnené vykonať stored XSS útok [1].

Zraniteľnosť sa nachádza v produktoch:

  • VMware Aria Operations; >=8, <8.18.2;
  • VMware Cloud Foundation; >=5, <=5.2.1;
  • VMware Cloud Foundation; >=4, <=4.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L

Viac informácií:

  • CVE-2024-38832 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

VMware Aria Operations - XSS (CVE-2024-38833)
CVSS 6.8 (Medium)

Autentizovanému vzdialenému útočníkovi s oprávnením na úpravy e-mailových šablón je umožnené vykonať stored XSS útok [1].

Zraniteľnosť sa nachádza v produktoch:

  • VMware Aria Operations; >=8, <8.18.2;
  • VMware Cloud Foundation; >=5, <=5.2.1;
  • VMware Cloud Foundation; >=4, <=4.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:L

Viac informácií:

  • CVE-2024-38833 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

VMware Aria Operations - XSS (CVE-2024-38834)
CVSS 6.5 (Medium)

Autentizovanému vzdialenému útočníkovi s oprávnením na úpravy cloudového poskytovateľa je umožnené vykonať XSS útok [1].

Zraniteľnosť sa nachádza v produktoch:

  • VMware Aria Operations; >=8, <8.18.2;
  • VMware Cloud Foundation; >=5, <=5.2.1;
  • VMware Cloud Foundation; >=4, <=4.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:N/A:L

Viac informácií:

  • CVE-2024-38834 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 2. 12. 2024.

CESNET, z.s.p.o. Logo