VMware vSphere Data Protection Kritik Güvenlik Zafiyeti

VMware tarafından yayınlanan VMSA2018-0001 numaralı güvenlik zafiyeti bildirimi vSphere Data Protection (VDP) sistemlerinde ve VDP’nin temel alındığı EMC Avamar yedekleme ürününde kritik seviyeli güvenlik açığı olduğunu belirtmektedir.

Zafiyetin kullanımının etkisinin yüksek olması sebebiyle internete açık sistemlerde yoğun tarama trafiği beklenmektedir.

Bu bildirime göre ürününde üç kritik zafiyet bulunmaktadır;

  • CVE-2017-15548
    VDP kimlik kontrol mekanizması atlatılabilmekte, erişim yetkisi olmayan birisi tarafından sisteme uzaktan ‘root’ erişimi sağlanabilmektedir.
  • CVE-2017-15549
    VDP sistemine düşük seviyeli erişimi olan bir kullanıcı tarafından sistemde herhangi bir alana dosya yüklenebilmektedir.
  • CVE-2017-15550
    VDP sistemine düşük seviyeli erişimi olan bir kullanıcı tarafından sistemdeki hassas dosyalara erişim sağlanabilmektedir.

Etkilenen Sürümler
VDP    6.1.x
VDP    6.0.x
VDP    5.x

Çözüm
VMware tarafından yayınlanan yamalı sürümler olan VDP 6.1.6 veya 6.0.7 sürümlerine yükseltilmesi gerekmektedir.

Yama yüklenmesi ve sistemin güncellenmesine kadar geçen süre içerisinde tehditten etkilenmemek için VDP sunucunuza ağ erişimlerini kısıtlayın.

Referans Bağlantılar