CVE-2015-7425

Atakujący wysyła spreparowany adres URL do podatnego komponentu Data Protection działającego w ramach interfejsu VMware vSphere GUI. Odpowiednio skonstruowany URL wywołuje wykonanie wewnętrznych funkcji back-end aplikacji, co skutkuje przyznaniem atakującemu uprawnień administracyjnych. Podatność zalicza się do klasy CWE-264 (Permissions, Privileges, and Access Controls), co wskazuje na nieprawidłową kontrolę dostępu do krytycznych funkcji systemowych.

Atakujący zdalny, nieuwierzytelniony może uzyskać pełne uprawnienia administracyjne nad komponentem Data Protection, co w konsekwencji może prowadzić do przejęcia kontroli nad środowiskiem wirtualizacji VMware, naruszenia poufności, integralności i dostępności chronionych danych oraz zarządzanych maszyn wirtualnych.

Należy zaktualizować oprogramowanie do wersji: IBM Tivoli Storage Manager for Virtual Environments — co najmniej 6.3.2.5, 6.4.3.1 lub 7.1.4 (odpowiednio do używanej gałęzi); IBM Tivoli Storage FlashCopy Manager for VMware — co najmniej 3.1.1.3, 3.2.0.6 lub 4.1.4. Szczegółowe instrukcje dostępne są w biuletynie producenta: http://www-01.ibm.com/support/docview.wss?uid=swg21973086.

IBM Tivoli Storage Manager for Virtual Environments: Data Protection for VMware (Spectrum Protect for Virtual Environments) w wersjach 6.3 przed 6.3.2.5, 6.4 przed 6.4.3.1 oraz 7.1 przed 7.1.4; IBM Tivoli Storage FlashCopy Manager for VMware (Spectrum Protect Snapshot) w wersjach 3.1 przed 3.1.1.3, 3.2 przed 3.2.0.6 oraz 4.1 przed 4.1.4.