S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 16 avril 2008 No CERTA-2008-ALE-004-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans VMware

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

• VMware Workstation versions 6.0.2 et antérieures ;
• VMware Workstation versions 5.5.4 et antérieures ;
• VMware Player versions 2.0.2 et antérieures ;
• VMware Player versions 1.0.4 et antérieures ;
• VMware ACE versions 2.0.2 et antérieures ;
• VMware ACE versions 1.0.2 et antérieures.

3 Résumé

4 Description

Une vulnérabilité dans l'étanchéité de cette fonctionnalité permet à une personne malveillante de contourner la politique de sécurité. L'exploitation de cette vulnérabilité permet de créer et de modifier des fichiers dans l'arborescence de l'hôte.

5 Contournement provisoire

6 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

7 Documentation

• Bulletin d'alerte VMware 1004034 :

  http://kb.vmware.com/kb/1004034
  

• Bulletin de sécurité VMware VMSA-2008-0005 du 17 mars 2008 :

  http://www.vmware.com/security/advisories/VMSA-2008-0005.html
  

• Avis de sécurité CERTA-2008-AVI-141 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-141/CERTA-2008-AVI-141.html
  

Gestion détaillée du document

27 février 2008

version initiale.

16 avril 2008

Ajout de la référence au bulletin de sécurité de léditeur et à l'avis CERTA associé.