VMWare muncul karena kerentanan Spring4shell – Keamanan
Technology

VMWare muncul karena kerentanan Spring4shell – Keamanan

VMWare telah mengeluarkan peringatan bahwa ia memiliki produk yang mengandung kerentanan Spring4Shell, pertama kali ditemukan minggu lalu, sementara vendor lain sedang menyelidiki penawaran mereka.

Akhir pekan lalu, SANS Internet Storm Center pertama kali melihat kode eksploit muncul di sistem honeypot mereka, untuk bug di Spring Framework for Java, yang menunjukkan bahwa penyerang memindai sistem yang rentan.

Proyek Spring telah merilis versi patch dari perangkat lunaknya.

Penasihat VMWare mengidentifikasi tiga produk yang menggunakan Spring Framework: Tanzu Application Service untuk VM, Tanzu Operations Manager, dan Tanzu Kubernetes Grid Integrated Edition (TKGI).

Perusahaan mengatakan produk dapat diserang melalui jaringan, “untuk mendapatkan kontrol penuh dari sistem target”.

Versi yang terpengaruh adalah Tanzu Application Service untuk VM versi 2.8 hingga 2.13, Tanzu Operations Manager 2.8 hingga 2.10, dan TKGI 1.12 dan 1.13.

Versi tetap telah dirilis untuk Layanan Aplikasi Tanzu untuk VM dan Manajer Operasi, tetapi tambalan masih tertunda untuk TKGI.

Pekan lalu, Tim Tanggap Darurat Komputer di Carnegie-Mellon memperingatkan bahwa Spring4Shell dapat menyebabkan eksekusi kode jarak jauh.

“Dengan menyediakan data yang dibuat ke aplikasi Spring Java, seperti aplikasi web, penyerang mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa aplikasi yang terpengaruh,” kata penasihat CERT.

“Tergantung pada aplikasinya, eksploitasi dapat dilakukan oleh penyerang jarak jauh tanpa memerlukan otentikasi.”

Menurut NCSC-NL Belanda, hanya VMWare, PTC (dalam WindChill dan produknya), dan Jamf telah mengonfirmasi bahwa mereka memiliki produk yang mewarisi kerentanan.

Namun, puluhan produk dari vendor lain, termasuk Fortinet, Jenkins, Pulse Secure, Veritas, Kofax, Alphatron Medical, Servicenow, Solarwinds, dan PagerDuty masih dalam penyelidikan.

Cisco telah mengeluarkan dua nasihat (di sini dan di sini) yang merinci investigasi Spring4Shell-nya. Pada saat penulisan, tidak ada produk Cisco yang diidentifikasi sebagai rentan.

Posted By : pengeluaran hk hari ini 2021