安全專(zhuān)家警告，正在使用VMware Cloud Director的公有和私有云管理員應(yīng)立即將修補(bǔ)一個(gè)高風(fēng)險(xiǎn)漏洞，因?yàn)楹诳涂衫迷撀┒赐耆刂铺摂M化云基礎(chǔ)架構(gòu)。

 

該漏洞在5月份被爆出，VMware及時(shí)發(fā)布了針對(duì)漏洞的修復(fù)程序。VMware Cloud Director(以前稱(chēng)為vCloud Director)是一個(gè)云服務(wù)交付平臺(tái)，允許云提供商，政府或大型企業(yè)創(chuàng)建，部署和管理虛擬數(shù)據(jù)中心。它提供了一個(gè)基于Web的管理界面以及API，客戶(hù)可以通過(guò)該API管理其虛擬云資源。

漏洞的跟蹤記錄為CVE-2020-3956，VMware在“通用漏洞評(píng)分系統(tǒng)(CVSS)”中對(duì)問(wèn)題的評(píng)級(jí)為嚴(yán)重，并表示它可以導(dǎo)致任意遠(yuǎn)程代碼執(zhí)行。可以通過(guò)Cloud Director的基于HTML5和基于Flex的用戶(hù)界面以及其API Explorer界面和API訪(fǎng)問(wèn)來(lái)利用漏洞。

漏洞使黑客能夠訪(fǎng)問(wèn)系統(tǒng)的數(shù)據(jù)庫(kù)，可以在其中替換任何現(xiàn)有客戶(hù)或系統(tǒng)中特權(quán)最高的用戶(hù)的登錄憑據(jù)，從而可以訪(fǎng)問(wèn)所有虛擬機(jī)和整個(gè)云環(huán)境。在更秘密的攻擊中，黑客可以使用漏洞提供的訪(fǎng)問(wèn)權(quán)限來(lái)添加后門(mén)管理帳戶(hù)。

VMware建議用戶(hù)升級(jí)到該產(chǎn)品的10.0.0.2、9.7.0.5、9.5.0.6或9.1.0.4版本。目前，版本10.1.0不受影響。VMware還發(fā)布了手動(dòng)解決方法，這些解決方法可應(yīng)用于無(wú)法立即更新到新版本的部署。