BDU:2017-02207

Опубликовано: 23 окт. 2015

Источник: fstec

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость реализации единого входа (Single Sign-On) средств управления виртуальной инфраструктурой VMware vCenter Server и VMware vRealize Automation связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или получить доступ к конфиденциальной информации, используя специально сформированные XML-запросы

Вендор

VMware Inc.

Наименование ПО

Vmware vSphere Client

vRealize Automation

Версия ПО

5.5, 6 (Vmware vSphere Client)

6 (vRealize Automation)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Возможные меры по устранению уязвимости

Обновление ПО до более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 83%

0.02008

Низкий

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2016-7460

CVSS3: 9.1

nvd

около 9 лет назад

The Single Sign-On feature in VMware vCenter Server 5.5 before U3e and 6.0 before U2a and vRealize Automation 6.x before 6.2.5 allows remote attackers to read arbitrary files or cause a denial of service via an XML document containing an external entity declaration in conjunction with an entity reference, related to an XML External Entity (XXE) issue.

GHSA-mhmr-f673-jqv8