VMware ha hecho pública una vulnerabilidad de día cero con soluciones alternativas para abordarla. Dicha vulnerabilidad, bajo el identificador CVE-2020-4006, podría permitir que un atacante tome el control de un sistema afectado.
Para explotar la vulnerabilidad de inyección de comandos el atacante debe contar con acceso de red al configurador administrativo en el puerto 8443 y una contraseña válida para la cuenta de administrador del configurador.
La vulnerabilidad se informó de forma privada a VMware y la empresa la clasificó como «crítica».
Los productos afectados son los siguientes:
- VMware Workspace One Access 20.10 (Linux)
- VMware Workspace One Access 20.01 (Linux)
- VMware Identity Manager 3.3.3 (Linux)
- VMware Identity Manager 3.3.2 (Linux)
- VMware Identity Manager 3.3.1 (Linux)
- VMware Identity Manager Connector 3.3.2, 3.3.1 (Linux)
- VMware Identity Manager Connector 3.3.3, 3.3.2, 3.3.1 (Windows)
VMware, con su equipo Workspace ONE Access, ha investigado la vulnerabilidad y a pesar de no indicar si la falla está bajo explotación activa, lanzó soluciones alternativas (e instrucciones sobre cómo eliminarlas) mientras están trabajando en los parches. Esta solución está destinada a ser solo una solución temporal y se recomienda a los clientes que sigan el aviso de seguridad VMSA-2020-0027 para recibir alertas cuando haya parches disponibles.
Más información: