VMware fixes high-severity SQL injection flaw CVE-2024-38814 in HCX
2024/10/17 SecurityAffairs — VMWare が公表したのは、HCX アプリケーション・モビリティ・プラットフォームに存在する、リモート・コード実行の脆弱性 CVE-2024-38814 (CVSS：8.8) に関する警告である。管理者権限を持たなくても、認証済みユーザーでありさえすれば、細工された SQL クエリを介して脆弱性 CVE-2024-38814 を悪用し、HCX マネージャーで許可されていないリモート・コード実行を達成する可能性を得る。
この、HCX における認証済みの SQL インジェクションの脆弱性は、Summoning Team (@SummoningTeam) の Sina Kheirkhah (@SinSinology) が、Trend Micro Zero Day Initiative (ZDI) を通じて VMware に非公開で報告したものである。
VMware が公開したアドバイザリには、「HCX における認証済み SQL インジェクションの脆弱性が、当社に対して非公開で報告された。すでに、この脆弱性を修正するためのアップデートが提供されており、影響を受ける VMware 製品でのリスクを低減できる。管理者権限を持たなくても、悪意の認証済みユーザーであれば、特別に細工された SQL クエリを入力し、HCX マネージャーでは許可されていないリモート・コード実行を、達成する可能性を手にする」と記されている。
VMware HCX (Hybrid Cloud Extension) は、データセンターとクラウドの間における、ワークロードの移行／再調整／継続を簡素化するために設計された、ワークロード・モビリティ・プラットフォームである。それにより、ユーザー組織は、オンプレミス環境とクラウド・インフラ間で、アプリケーションと仮想マシンをシームレスに移動し、ダウンタイムも回避できる。
脆弱性 CVE-2024-38814 は、HCX プラットフォームの複数バージョンに影響を及ぼし、その中には 4.8.x／4.9.x／4.10.x も含まれる。すでに、バージョン 4.8.3／4.9.2／4.10.1 がリリースされ、この脆弱性は修正されている。
VMware HCX (Hybrid Cloud Extension) の脆弱性が FIX とのことです。ご利用のチームは、ご注意ください。このブログでは初登場の HCX ですが、調べてみたら 2019年にリリースされていました。よろしければ、VMware で検索も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.