VMware Aria Operations aborda múltiples vulnerabilidades

VMware ha identificado múltiples vulnerabilidades en su producto, VMware Aria Operations una herramienta clave para la administración en entornos virtualizados y de nube. Estas fallas de seguridad podrían permitir desde escalamiento de privilegios hasta inyección de scripts maliciosos.

  • CVE-2024-38830 (CVSS 7.8): Permite a un atacante con privilegios administrativos locales escalar privilegios a nivel de root en el appliance afectado, comprometiendo su integridad y control.
  •  CVE-2024-38831 (CVSS 7.8): Una falla en la validación de comandos en archivos de propiedades permite a un atacante local con privilegios administrativos insertar comandos maliciosos para obtener acceso de nivel root.
  • CVE-2024-38832 (CVSS 7.1): Una vulnerabilidad de cross-site scripting (XSS) almacenado permite que un atacante con permisos de edición en vistas inyecte scripts maliciosos, que podrían ejecutarse en los navegadores de los usuarios afectados.
  • CVE-2024-38833 (CVSS 6.8): Otra vulnerabilidad de XSS almacenado afecta las plantillas de correo, permitiendo a un atacante con permisos de edición inyectar scripts maliciosos, comprometiendo la interacción de los usuarios con dichas plantillas.
  • CVE-2024-38834 (CVSS 6.5): Un fallo adicional de XSS almacenado permite a un atacante con acceso de edición a configuraciones de proveedores de nube inyectar scripts maliciosos, comprometiendo la seguridad y el flujo de operaciones en VMware Aria Operations.
CVEProducto AfectadoVersión AfectadaSolución
CVE-2024-38830  VMware Aria Operations.Desde 8.x hasta antes de la 8.18.2.
Desde 5.x hasta antes de la 8.18.2.
Desde 4.x hasta antes de la 8.18.2.		Versión 8.12.2 o posterior.
CVE-2024-38831
CVE-2024-38832
CVE-2024-38833
CVE-2024-38834

Recomendaciones:

  • Aplicar inmediatamente la versión actualizada de VMware Aria Operations disponible en los canales oficiales.
  • Implementar controles estrictos de acceso para reducir la posibilidad de explotación de vulnerabilidades asociadas.
  • Monitorear las actividades en los sistemas actualizados para detectar comportamientos inusuales o intentos de explotación.

Referencias: