CERT-FI haavoittuvuustiedote 084/2010

Haavoittuvuuksia VMware ESXi ja ESX Service Console -ohjelmistoissa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen - ei päivitystä tai rajoitusmenetelmää	Lisätietoja

VMware on julkaissut tiedotteen (VMSA-2010-0009) turvallisuuspäivityksistä VMwaren ESXi ja ESX Service Console -tuotteisiin. Päivitykset korjaavat yli 40 haavoittuvuutta ESXi ja ESX Service Console -ohjelmistoihin sisältyvistä kolmannen osapuolen ohjelmistoista. Haavoittuvuudet liittyvät tuotteissa käytettyihin ntp, openssl, krb5, gcc, bind, gzip ja sudo -ohjelmistoihin sekä ESX -käyttöjärjestelmän ytimeen. Kaikkiin tuotteisiin ei vielä ole saatavilla korjauksia. Osa haavoittuvuuksista mahdollistaa hyökkääjän ohjelmakoodin suorittamisen kohdejärjestelmässä, osan avulla hyökkääjä voi korottaa käyttöoikeustasoaan, aiheuttaa palvelunestotilan, laajentaa käyttövaltuuksiaan tai väärentää sähköisen varmenteensa.

HAAVOITTUVAT OHJELMISTOT:

• VMware ESXi
• VMware ESX 4.0
• VMware ESX 3.5
• VMware ESX 3.0.3
• VMware ESX 2.5.5
• VMware vMA 4.0

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeen mukaisesti. Osaan haavoittuvuuksista ei vielä ole saatavilla korjaavaa ohjelmistopäivitystä. Tarkemmat tiedot saatavilla olevista päivityksistä saa valmistajan julkaisemasta tiedotteesta.

LISÄTIETOA:

• http://www.vmware.com/security/advisories/VMSA-2010-0009.html

• CVE-2009-2695 CVE-2009-2908 CVE-2009-3228
• CVE-2009-3286 CVE-2009-3547 CVE-2009-3613
• CVE-2009-3612 CVE-2009-3620 CVE-2009-3621
• CVE-2009-3726 CVE-2007-4567 CVE-2009-4536
• CVE-2009-4537 CVE-2009-4538 CVE-2006-6304
• CVE-2009-2910 CVE-2009-3080 CVE-2009-3556
• CVE-2009-3889 CVE-2009-3939 CVE-2009-4020
• CVE-2009-4021 CVE-2009-4138 CVE-2009-4141
• CVE-2009-4272 CVE-2009-3563 CVE-2009-4355
• CVE-2009-2409 CVE-2009-0590 CVE-2009-1377
• CVE-2009-1378 CVE-2009-1379 CVE-2009-1386
• CVE-2009-1387 CVE-2009-4212 CVE-2009-1384
• CVE-2010-0097 CVE-2010-0290 CVE-2009-3736
• CVE-2010-0001 CVE-2010-0426 CVE-2010-0427
• CVE-2010-0382

PÄIVITYSHISTORIA:

1.6.2010, kello 17.40: Julkaistu

Sivua päivitetty 01.06.2010

Tulostusversio