VMSA-2014-0001:VMware Workstation、Player、Fusion、ESXi、ESX 和 vCloud Director 地址多个安全问题

medium Nessus 插件 ID 72006

简介

远程 VMware ESXi / ESX 主机缺少与安全有关的修补程序。

描述

a. VMware ESXi 和 ESX NFC 空指针取消引用

VMware ESXi 和 ESX 在网络文件复制 (NFC) 流量的处理中包含空指针取消引用。要利用此漏洞,攻击者必须拦截并修改 ESXi/ESX 与客户端之间的 NFC 流量。利用此问题可能导致拒绝服务。

为降低被利用的可能性,vSphere 组件应部署在隔离的管理网络中。
VMware 在此感谢 Context Information Security 的 Alex Chapman 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-1207。

b. VMware VMX 进程拒绝服务漏洞

由于在无效端口的处理中存在缺陷,可能导致 VMX 进程失败。此漏洞可允许客户机用户影响 VMX 进程,从而导致主机上的部分拒绝服务。

VMware 在此感谢 Recurity Labs GmbH 和 Bundesamt Sicherheit in der Informationstechnik (BSI) 向我们报告此问题

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-1208。

c. VMware vCloud Director 跨站请求伪造 (CSRF)

VMware vCloud Director 在超文本传输协议 (http) 会话管理中包含漏洞。攻击者可诱骗经认证的用户点击恶意链接,这会导致此用户被注销。用户能够立即再次登录系统。

VMware 在此感谢 Mattia Folador 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-1211。

解决方案

请应用缺少的修补程序。

另见

http://lists.vmware.com/pipermail/security-announce/2014/000231.html

插件详情

严重性: Medium

ID: 72006

文件名: vmware_VMSA-2014-0001.nasl

版本: 1.15

类型: local

发布时间: 2014/1/17

最近更新时间: 2021/1/6

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 5.8

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

漏洞信息

CPE: cpe:/o:vmware:esx:4.0, cpe:/o:vmware:esx:4.1, cpe:/o:vmware:esxi:4.0, cpe:/o:vmware:esxi:4.1, cpe:/o:vmware:esxi:5.0, cpe:/o:vmware:esxi:5.1

必需的 KB 项: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version

易利用性: No known exploits are available

补丁发布日期: 2014/1/16

参考资料信息

CVE: CVE-2014-1207, CVE-2014-1208, CVE-2014-1211

BID: 64993, 64994, 64995

VMSA: 2014-0001