 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 06 juin 2011
No CERTA-2011-AVI-330 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Multiples
vulnérabilités dans les produits VMWare
Tableau 1: Gestion du document
| Référence |
CERTA-2011-AVI-330 |
| Titre |
Multiples
vulnérabilités dans les produits
VMWare |
| Date de la première
version |
06 juin 2011 |
| Date de la dernière
version |
- |
| Source(s) |
Bulletin de
sécurité VMware VMSA-2011-0009 du
06 juin 2011 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Exécution de code arbitraire à distance
;
- déni de service ;
- contournement de la politique de sécurité
;
- élévation de privilèges.
- VMWare Workstation versions 7.1.3 et antérieures
;
- VMWare Player versions 3.1.3 et antérieures ;
- VMWare Fusion versions 3.1.2 et antérieures ;
- ESXi 4.1 sans le correctif ESXi410-201104402-BG ;
- ESXi 4.0 sans le correctif ESXi400-201104402-BG ;
- ESXi 3.5 sans les correctifs ESXe350-201105401-SG et
ESXe350-201105402-T-SG ;
- ESXi 4.1 sans le correctif ESX410-201104401-BG ;
- ESXi 4.0 sans le correctif ESX400-201104401-BG ;
- ESXi 3.5 sans les correctifs ESX350-201105401-SG,
ESXe350-201105404-SG et ESXe350-201105406-SG ;
De nombreuses vulnérabilités ont
été corrigées dans les produits VMWare,
dont certaines peuvent permettre l'exécution de code
arbitraire à distance.
De nombreuses vulnérabilités ont
été corrigées dans les produits VMWare :
- une vulnérabilité dans le pilote pour les
cartes Intel PRO/1000 sous Linux, qui peut être
exploitée pour contourner les filtres réseaux
;
- plusieurs vulnérabilités dans des
composants tiers du serveur ESX permettent à un
utilisateur local malveillant d'élever ses
privilèges, à un attaquant sous certaines
conditions d'exécuter du code arbitraire à
distance, et à un attaquant de créer des
dénis de service localement ou à distance
;
- plusieurs vulnérabilités dans le
système de fichiers Host Guest (HGFS) pour les
systèmes Unix peuvent être exploitées par
un attaquant dans la machine cliente pour obtenir des
informations sur l'existence de fichiers sur la machine
hôte, et pour élever ses privilèges
(notamment par un accès concurrentiel type "Race
Condition" en montant un répertoire) ;
- une vulnérabilité dans les contrôles
ActiveX du client VI permet à un attaquant
d'exécuter du code arbitraire à distance
à l'aide d'un site Web spécialement
conçu.
Se référer au bulletin de
sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).
- 06 juin 2011
- version initiale.
CERTA
2012-01-04
|
|
)
