VMSA-2013-0001：针对认证服务和第三方库的 VMware vSphere 安全更新
critical Nessus 插件 ID 64642
语言：
简介
远程 VMware ESXi/ESX 主机缺少一个或多个与安全有关的修补程序。描述
a. VMware vSphere 客户端认证内存损坏漏洞VMware vCenter Server、vSphere Client 和 ESX 在对管理认证协议的处理中包含一个漏洞。要利用此漏洞，攻击者必须确信 vCenter Server、vSphere Client 或 ESX 以客户端方式与恶意服务器进行交互。利用该问题可能导致客户端系统上的代码执行。
为降低被利用的可能性，vSphere 组件应部署在隔离的管理网络中。
通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配了名称 CVE-2013-1405。
b. ESX/ESXi libxml2 userworld 和服务控制台的更新
ESX/ESXi userworld libxml2 库已更新以解决多种安全问题。此外，ESX 服务控制台 libxml2 程序包已更新到以下版本：
libxml2-2.6.26-2.1.15.el5_8.5 libxml2-python-2.6.26-2.1.15.el5_8.5
这些更新修复了多种安全问题。通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2011-3102 和 CVE-2012-2807。
c. ESX 服务控制台 bind 程序包的更新
ESX 服务控制台 bind 程序包已更新到以下版本：
bind-libs-9.3.6-20.P1.el5_8.2 bind-utils-9.3.6-20.P1.el5_8.2
这些更新修复了一个安全问题。通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2012-4244。
d. ESX 服务控制台 libxslt 程序包的更新
ESX 服务控制台 libxslt 程序包已更新到版本 libxslt-1.1.17-4.el5_8.3 以解决多种安全问题。
通用漏洞和暴露计划 (cve.mitre.org) 为这些问题分配了名称 CVE-2011-1202、CVE-2011-3970、CVE-2012-2825、CVE-2012-2870 和 CVE-2012-2871。
解决方案
安装缺失的修补程序。另见
http://lists.vmware.com/pipermail/security-announce/2013/000215.html
插件详情
严重性: Critical
ID: 64642
文件名: vmware_VMSA-2013-0001.nasl
版本: 1.33
类型: local
发布时间: 2013/2/16
最近更新时间: 2021/1/6
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
漏洞信息
CPE: cpe:/o:vmware:esx:3.5, cpe:/o:vmware:esx:4.0, cpe:/o:vmware:esx:4.1, cpe:/o:vmware:esxi:3.5, cpe:/o:vmware:esxi:4.0, cpe:/o:vmware:esxi:4.1, cpe:/o:vmware:esxi:5.0, cpe:/o:vmware:esxi:5.1
必需的 KB 项: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version
易利用性: No known exploits are available
补丁发布日期: 2013/1/31
参考资料信息
CVE: CVE-2011-1202, CVE-2011-3102, CVE-2011-3970, CVE-2012-2807, CVE-2012-2825, CVE-2012-2870, CVE-2012-2871, CVE-2012-4244, CVE-2013-1405
BID: 47668, 51911, 53540, 54203, 54718, 55331, 55522, 57666
VMSA: 2013-0001