Уязвимость нулевого дня в VMware vCloud Director

A fost identificată o problemă de securitate în VMware vCloud Director. Această aplicaţie este vulnerabilă la Expression Language Injection. Atacatorul e capabil să injecteze o sarcină utilă dăunătoare drept server SMTP, care este mai apoi executată şi duce la executarea codului la distanţă.

Cu această vulnerabilitate, un atacator este capabil să execute orice comandă de sistem pe serverul ţintă, să obţină coduri sursă pentru toate aplicaţiile de pe acest server şi, de asemenea, să atace alte gazde din infrastructura internă.

Notă: Problema de securitate există pe sistem chiar dacă nu este configurat nici un server SMTP.

Dispozitive potenţial afectate: VMware vCloud Director înainte de 10.1

Potrivit PSIRT VMware, problema este planificată să fie dezvăluită într-un aviz public de securitate VMware la jumătatea lunii mai, când toate versiunile de produs afectate vor fi relansate cu o corecţie.