VMWare – CVE-2022-31703

Date de publication :

 

Une faille dans l'API REST de VMware vRealize Network Insight permet à un attaquant distant, grâce à une attaque de type « directory traversal », d’accéder à la lecture arbitraire de fichiers.

 

CVE-2022-31703

[Score CVSS v3.1: 7.5]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Lecture arbitraire de fichier

Exploitation

La vulnérabilité exploitée est du type

CWE-22: Improper Limitation of a Pathname to a Restricted Directory

Détails sur l’exploitation

  • Vecteur d’attaque : Réseau.

  • Complexité de l’attaque : Faible.

  • Privilèges nécessaires pour réaliser l’attaque : Aucun.

  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Systèmes ou composants affectés

  • VMware vRealize Network Insight (vRNI) 6.2
  • VMware vRealize Network Insight (vRNI) 6.3
  • VMware vRealize Network Insight (vRNI) 6.4
  • VMware vRealize Network Insight (vRNI) 6.5.x
  • VMware vRealize Network Insight (vRNI) 6.6
  • VMware vRealize Network Insight (vRNI) 6.7
  • VMware vRealize Network Insight (vRNI) 6.8.0

Solutions ou recommandations

  • Mettre à jour VMware vRealize Network Insight (vRNI) aux versions 6.8.0 et suivantes.
  • Des correctifs sont disponibles pour vRealize Network Insight en versions 6.2 à 6.5.1, 6.6 et 6.7
  • Des informations complémentaires sont disponibles ici.

Liens