Cisco a déployé des mises à jour logicielles pour résoudre plusieurs vulnérabilités critiques affectant HyperFlex HX et SD-WAN vManage Software qui pourraient permettre à un attaquant de lancer des attaques par injection de commande, d’exécuter du code arbitraire et d’accéder à des informations sensibles.
Dans une série d’avis publiés le 5 mai, la société a déclaré qu’il n’y avait pas de solutions de contournement pour résoudre les problèmes.
Les vulnérabilités d’injection de commandes HyperFlex HX, suivies comme CVE-2021-1497 et CVE-2021-1498 (CVSS scores 9,8), affectent tous les périphériques Cisco exécutant les versions 4.0, 4.5 et antérieures du logiciel HyperFlex HX 4.0. Survenant en raison d’une validation insuffisante des entrées fournies par l’utilisateur dans l’interface de gestion Web de Cisco HyperFlex HX Data Platform, les failles pourraient permettre à un attaquant distant non authentifié d’effectuer une attaque par injection de commande contre un périphérique vulnérable.
« Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête spécialement conçue à l’interface de gestion Web, » la société mentionné dans son alerte. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires » soit en tant qu’utilisateur root ou tomcat8.
Cisco a également écrasé cinq pépins affectant le logiciel SD-WAN vManage (CVE-2021-1275, CVE-2021-1468, CVE-2021-1505, CVE-2021-1506 et CVE-2021-1508) qui pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire ou accéder à des informations sensibles, ou permettre à un attaquant local authentifié d’obtenir des privilèges accrus ou d’obtenir un accès non autorisé à l’application.
Nikita Abramov et Mikhail Klyuchnikov de Positive Technologies ont été crédités d’avoir signalé l’HyperFlex HX, tandis que quatre des bogues SD-WAN vManage ont été identifiés lors des tests de sécurité interne, avec CVE-2021-1275 découvert lors de la résolution d’un centre d’assistance technique Cisco ( Valise de support TAC).
Bien qu’il n’y ait aucune preuve d’utilisation malveillante des vulnérabilités dans la nature, il est recommandé aux utilisateurs de mettre à niveau vers la dernière version pour atténuer le risque associé aux failles.
VMware corrige un bogue critique de vRealize Business for Cloud
Ce n’est pas seulement Cisco. VMware a publié mercredi des correctifs pour corriger un défaut de gravité critique dans vRealize Business for Cloud 7.6 qui permet aux attaquants non authentifiés d’exécuter à distance du code malveillant sur des serveurs vulnérables.
La faille d’exécution de code à distance (CVE-2021-21984, score CVSS: 9,8) provient d’un Point de terminaison VAMI, entraînant un scénario qui pourrait amener un adversaire disposant d’un accès au réseau à exécuter du code non autorisé sur l’appliance. Les clients concernés peuvent résoudre le problème en installer le fichier ISO du correctif de sécurité.
Vmware a crédité Egor Dimitrenko de Positive Technologies pour avoir signalé la vulnérabilité.
