Mediante un aviso en su página web VMware envió un comunicado indicando 2 nuevas vulnerabilidades que afectan a su producto VMware vRealize Network Insight.
La compañía ha dado a conocer los detalles de las vulnerabilidades encontradas así como las versiones afectadas y sus respectivos parches de seguridad.
Descripción
La vulnerabilidad registrada CVE-2022-31702 y calificada como crítica, con un puntaje CVSSv3 de 9.8, se da por la API “Rest” presente en el sistema usado para inyección de comandos. La brecha de seguridad existe debido a una validación de entrada inadecuada en la API REST de vRNI. Un atacante con acceso a la red vRNI podría aprovecharse de esta debilidad presentada en el sistema para ejecutar comandos Shell sin autenticación.
La vulnerabilidad registrada CVE-2022-31703 con una calificación CVSSv3 de 7.5, permite a un atacante remoto realizar ataques a través de directorios, un agresor de la red podría hacer uso del error de validación de entrada al procesar secuencias de cruce de directorios dentro de la API “Rest”. El atacante puede enviar una solicitud HTTP diseñada para leer archivos del servidor.
Versiones afectadas
| Product | Version | Running On | CVE Identifier | CVSSv3 | Severity | Fixed Version | Workarounds | Additional Documentation |
| VMware vRealize Network Insight (vRNI) | 6.7 | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.7 HF | None | NA |
| VMware vRealize Network Insight (vRNI) | 6.6 | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.6 HF | None | NA |
| VMware vRealize Network Insight (vRNI) | 6.5.x | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.5.x HF | None | NA |
| VMware vRealize Network Insight (vRNI) | 6.4 | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.4 HF | None | NA |
| VMware vRealize Network Insight (vRNI) | 6.3 | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.3 HF | None | NA |
| VMware vRealize Network Insight (vRNI) | 6.2 | Any | CVE-2022-31702, CVE-2022-31703 | 9.8, 7.5 | Critical | 6.2 HF | None | NA |
Recomendaciones:
Actualizar de forma inmediata vRealize Network Insight a la versión 6.8
Referencias:
- https://www.vmware.com/security/advisories/VMSA-2022-0031.html
- https://securityonline.info/cve-2022-31702-unauthenticated-command-injection-vulnerability-in-vmware-vrni/
- https://s2grupo.es/multiples-vulnerabilidades-en-vmware-vrealize-network-insight-vrni/
- https://www.cybersecurity-help.cz/vdb/SB2022121329
- https://customerconnect.vmware.com/downloads/info/slug/infrastructure_operations_management/vmware_vrealize_network_insight/6_x
- https://docs.vmware.com/en/VMware-vRealize-Network-Insight/6.8/rn/vmware-vrealize-network-insight-68-release-notes/index.html
- https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N