「VMware Aria Operations for Logs」に認証回避など複数の脆弱性

「VMware Aria Operations for Logs」に複数の脆弱性が明らかとなった。アップデートが提供されている。

外部に対して非公開のもと、2件の脆弱性について報告を受けたという。「CVE-2023-34051」は、認証のバイパスが可能となる脆弱性。アプライアンス上のOSへ認証なしにファイルを挿入でき、リモートよりコードを実行されるおそれがあるという。

また信頼できないデータをデシリアライズする「CVE-2023-34052」が明らかとなった。システムのローカル環境へアクセスできる場合、脆弱性を悪用することで認証をバイパスすることが可能になるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアはいずれも「8.1」としており、4段階の重要度において上から2番目にあたる「重要（Important）」とレーティングされている。

同社では、脆弱性の影響を受けない「同8.14」にアップデートするよう呼びかけている。あわせて「VMware Cloud Foundation」の利用者にも注意を喚起した。

（Security NEXT - 2023/10/20 ）ツイート