Risque(s)

• Exécution de code arbitraire à distance
• Atteinte à la confidentialité des données
• Injection de code indirecte à distance (XSS)
• Elévation de privilèges

Systèmes affectés

• vCenter Server version 7.0 antérieure à 7.0 U3f
• vCenter Server version 6.7

antérieure à 6.7 U3r

vCenter Server version 6.5 antérieure à 6.5 U3t

Cloud Foundation (vCenter Server) versions 4.x sans le correctif de sécurité KB88287

Cloud Foundation (vCenter Server) versions 3.x

VMware vRealize Log Insight versions 8.x antérieures à 8.8.2

ESXi version 7.0 sans le correctif de sécurité ESXi70U3sf-20036586

ESXi version 6.7 sans le correctif de sécurité ESXi670-202207401-SG

ESXi version 6.5 sans le correctif de sécurité ESXi650-202207401-SG

Cloud Foundation (ESXi) versions 4.x sans le correctif de sécurité KB88695

Cloud Foundation (ESXi) versions 3.x sans le correctif de sécurité KB88927

Résumé

De multiples vulnérabilités ont été découvertes dans les produits VMware. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité VMware VMSA-2022-0018 du 12 juillet 2022
  https://www.vmware.com/security/advisories/VMSA-2022-0018.html
• Bulletin de sécurité VMware VMSA-2022-0019 du 12 juillet 2022
  https://www.vmware.com/security/advisories/VMSA-2022-0019.html
• Bulletin de sécurité VMware VMSA-2022-0020 du 12 juillet 2022
  https://www.vmware.com/security/advisories/VMSA-2022-0020.html
• Bulletin de sécurité VMware VMSA-2021-0025 mis à jour le 12 juillet 2022
  https://www.vmware.com/security/advisories/VMSA-2021-0025.html
• Référence CVE CVE-2022-22982
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22982
• Référence CVE CVE-2022-31654
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31654
• Référence CVE CVE-2022-31655
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31655
• Référence CVE CVE-2022-29901
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29901
• Référence CVE CVE-2022-28693
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-28693
• Référence CVE CVE-2022-23816
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23816
• Référence CVE CVE-2022-23825
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23825
• Référence CVE-2021-22048
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22048