CERTFR-2026-AVI-0199_Multiples vulnérabilités dans les produits VMware

AVIS CERT
CERT-FR

Publié le 24 février 2026 à 18h37

Objet

Multiples vulnérabilités dans les produits VMware

Référence

CERTFR-2026-AVI-0199

Risques

  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)
  • Non spécifié par l'éditeur
  • Élévation de privilèges

Systèmes affectés

  • AI Services pour Tanzu Platform versions antérieures à 10.3.4
  • App Metrics versions antérieures à2.3.3
  • Aria Operations versions 8.x antérieures à 8.18.6
  • cf-mgmt pour Tanzu Platform versions antérieures à 1.0.108
  • Cloud Foundation versions 4.x et 5.x sans le correctif de sécurité KB92148
  • Cloud Foundation versions 9.x antérieures à 9.0.2.0
  • Cloud Native Buildpacks pour Tanzu Platform versions antérieures à 0.6.5
  • CredHub Secrets Management pour Tanzu Platform versions antérieures à 1.6.8
  • Elastic Application Runtime pour Tanzu Platform versions antérieures à 6.0.25+LTS-T, 10.2.8+LTS-T et 10.3.5
  • Extended App Support pour Tanzu Platform versions antérieures à 1.0.15
  • Foundation Core pour Tanzu Platform versions antérieures à 3.2.4
  • Harbor Registry versions antérieures à 2.14.2
  • Java Buildpack versions antérieures à 4.89.0
  • NodeJS Buildpack versions antérieures à 1.8.77
  • Tanzu Data Flow versions antérieures à 2.0.2 sur Tanzu Platform
  • Tanzu GemFire Management versions antérieures à 1.4.3
  • Tanzu GemFire versions antérieures à 2.6.1 sur Kubernetes
  • Tanzu pour MySQL versions 2.0.0 sur Kubernetes
  • Tanzu pour Valkey version 3.3.1 sur Kubernetes
  • Tanzu pour Valkey version 9.0.1
  • Telco Cloud Infrastructure versions 2.x et 3.x sans le correctif de sécurité KB428241
  • Telco Cloud Platform versions 4.x et 5.x sans le correctif de sécurité KB428241

Résumé

De multiples vulnérabilités ont été découvertes dans les produits VMware. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et une injection de code indirecte à distance (XSS).

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0199/