VMware從vSphere Data Protection中刪除硬編碼的根訪問密鑰,遠程控制軟件

admin

VMware從vSphere Data Protection中刪除硬編碼的根訪問密鑰,遠程控制軟件

該公司還修復(fù)了存儲在ESXi中的跨站點腳本缺陷

VMware發(fā)布了一個修補程序，用于vSphere Data Protection（VDP）更改硬編碼的SSH密鑰，以允許遠程攻擊者獲得對虛擬設(shè)備的root訪問權(quán)限。

VDP是作為開放式虛擬設(shè)備（OVA）運行的基于磁盤的備份和恢復(fù)產(chǎn)品。它與VMware vCenter Server集成，可為多達100個虛擬機提供集中管理備份作業(yè)。

根據(jù)VMware支持文章，vSphere Data Protection（VDP）設(shè)備包含具有已知密碼的靜態(tài)SSH私鑰。此密鑰允許與EMC Avamar（重復(fù)數(shù)據(jù)刪除備份和恢復(fù)軟件解決方案）的互操作性，并且在VDP上作為AuthorizedKey進行預(yù)配置。

“有權(quán)訪問內(nèi)部網(wǎng)絡(luò)的攻擊者可能會濫用此權(quán)限，以root權(quán)限訪問設(shè)備，并進一步執(zhí)行完全泄漏，”VMware說。

該公司評價此漏洞是至關(guān)重要的，并開發(fā)了一個修復(fù)程序，可以在設(shè)備上復(fù)制和執(zhí)行以更改默認SSH密鑰和設(shè)置新密碼。

使用硬編碼訪問憑據(jù)開發(fā)用戶無法更改的設(shè)備是一個嚴重的安全漏洞。不幸的是，這是過去常見的做法，供應(yīng)商一直在努力從他們的設(shè)備清除這些錯誤在過去幾年。

周二，VMware還修復(fù)了其vSphere虛擬機管理程序（ESXi）產(chǎn)品中存儲的跨站點腳本漏洞。缺陷被認為是重要的。

“該問題可以由有權(quán)限通過ESXi主機客戶端管理虛擬機的攻擊者介紹，或通過欺騙vSphere管理員導(dǎo)入特制虛擬機，”該公司在一個咨詢中說。 “可能在從使用ESXi主機客戶端管理特制虛擬機的系統(tǒng)上觸發(fā)此問題。

VMware發(fā)布了ESXi 5.5和6.0的安全修復(fù)程序以修復(fù)此缺陷，并建議用戶不要從不受信任的來源導(dǎo)入VM。