CVE-2016-7457

VMware vRealize Operations — eskalacja uprawnień i usunięcie maszyn wirtualnych

CVSS 10.0v3.0pub. 2016-12-29upd. 2026-05-06

VMware vRealize Operations (vROps) w wersjach 6.x przed 6.4.0 zawiera podatność umożliwiającą uwierzytelnionym zdalnym użytkownikom uzyskanie wyższych uprawnień lub zatrzymanie i usunięcie maszyn wirtualnych. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku wymagań dotyczących interakcji użytkownika i możliwości pełnego wpływu na poufność, integralność oraz dostępność środowiska.

▸ Pokaż oryginał (EN)

VMware vRealize Operations (aka vROps) 6.x before 6.4.0 allows remote authenticated users to gain privileges, or halt and remove virtual machines, via unspecified vectors.

🤖 Analiza AI

Jak działa

Podatność klasyfikowana jest jako CWE-264 (problemy z uprawnieniami), co wskazuje na nieprawidłową kontrolę dostępu lub weryfikację uprawnień w obrębie aplikacji. Uwierzytelniony użytkownik zdalny może za pomocą bliżej nieokreślonych wektorów wywołać operacje zastrzeżone dla wyższych ról, takie jak privilege escalation, zatrzymanie działających maszyn wirtualnych lub ich trwałe usunięcie z infrastruktury. Szczegółowe mechanizmy wykorzystania podatności nie zostały ujawnione w publicznym opisie producenta.

Skutki

Atakujący z dostępem do konta użytkownika może przejąć wyższe uprawnienia w środowisku vROps, a także zatrzymać lub nieodwracalnie usunąć maszyny wirtualne, co może prowadzić do poważnych zakłóceń ciągłości działania infrastruktury wirtualizacyjnej.

Mitygacja

Należy zaktualizować VMware vRealize Operations do wersji 6.4.0 lub nowszej zgodnie z zaleceniami opisanymi w biuletynie bezpieczeństwa VMware VMSA-2016-0016 dostępnym pod adresem http://www.vmware.com/security/advisories/VMSA-2016-0016.html