AVIS CERTFR - 2022 - AVI - 638

Objet : Multiples vulnérabilités dans les produits VMware

Référence : CERTFR-2022-AVI-638

Risque(s)

- Exécution de code arbitraire à distance
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)
- Elévation de privilèges

Systèmes affectés

- vCenter Server version 7.0 antérieure à 7.0 U3f
- vCenter Server version 6.7 antérieure à 6.7 U3r
- vCenter Server version 6.5 antérieure à 6.5 U3t
- Cloud Foundation (vCenter Server) versions 4.x sans le correctif de sécurité KB88287
- Cloud Foundation (vCenter Server) versions 3.x
- VMware vRealize Log Insight versions 8.x antérieures à 8.8.2
- ESXi version 7.0 sans le correctif de sécurité ESXi70U3sf-20036586
- ESXi version 6.7 sans le correctif de sécurité ESXi670-202207401-SG
- ESXi version 6.5 sans le correctif de sécurité ESXi650-202207401-SG
- Cloud Foundation (ESXi) versions 4.x sans le correctif de sécurité KB88695
- Cloud Foundation (ESXi) versions 3.x sans le correctif de sécurité KB88927

Résumé

De multiples vulnérabilités ont été découvertes dans les produits VMware. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité VMware VMSA-2022-0018 du 12 juillet 2022
https://www.vmware.com/security/advisories/VMSA-2022-0018.html 
- Bulletin de sécurité VMware VMSA-2022-0019 du 12 juillet 2022
https://www.vmware.com/security/advisories/VMSA-2022-0019.html 
- Bulletin de sécurité VMware VMSA-2022-0020 du 12 juillet 2022
https://www.vmware.com/security/advisories/VMSA-2022-0020.html 
- Bulletin de sécurité VMware VMSA-2021-0025 mis à jour le 12 juillet 2022
https://www.vmware.com/security/advisories/VMSA-2021-0025.html 
- Référence CVE CVE-2022-22982
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22982 
- Référence CVE CVE-2022-31654
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31654 
- Référence CVE CVE-2022-31655
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31655 
- Référence CVE CVE-2022-29901
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29901 
- Référence CVE CVE-2022-28693
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-28693 
- Référence CVE CVE-2022-23816
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23816 
- Référence CVE CVE-2022-23825
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23825 
- Référence CVE-2021-22048
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22048 

Dernière version de ce document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-638/