Avis du CERT-FR
Objet : Vulnérabilités dans VMware ESX et ESXi
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Déni de service à distance
- Élévation de privilèges
Systèmes affectés
- VMware ESX 4.0 et 4.1 ;
- VMware ESXi 4.0 et 4.1.
Résumé
Plusieurs vulnérabilités ont été corrigées dans VMware ESX et ESXi permettant à un utilisateur malintentionné de provoquer un déni de service, une élévation de privilèges ou un contournement de la politique de sécurité.
Description
Plusieurs vulnérabilités ont été corrigées dans les produits VMware ESX et ESXi :
- Une vulnérabilité (CVE-2010-2240) présente dans le noyau Linux (cf. avi CERTA CERTA-2010-AVI-392) ;
- quatre vulnérabilités (CVE-2010-1323, CVE-2010-1324, CVE-2010-4020 et CVE-2010-4021) présentes dans Kerberos (cf. avi CERTA CERTA-2010-AVI-571) ;
- deux vulnérabilités (CVE-2011-1785 et CVE-2011-1786) concernent la gestion des ressources réseau.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité VMware VMSA-2011-0007 du 28 avril 2011 :
http://www.vmware.com/security/advisories/VMSA-2011-0007.html -
Document du CERTA CERTA-2010-AVI-392 du 19 août 2010 (CVE-2010-2240) :
http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-392/index.html -
Document du CERTA CERTA-2010-AVI-571 du 01 décembre 2010 (CVE-2010-1323, CVE-2010-1324, CVE-2010-4020 et CVE-2010-4021) :
http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-571/index.html -
Référence CVE CVE-2010-1323
https://www.cve.org/CVERecord?id=CVE-2010-1323 -
Référence CVE CVE-2010-1324
https://www.cve.org/CVERecord?id=CVE-2010-1324 -
Référence CVE CVE-2010-2240
https://www.cve.org/CVERecord?id=CVE-2010-2240 -
Référence CVE CVE-2010-4020
https://www.cve.org/CVERecord?id=CVE-2010-4020 -
Référence CVE CVE-2010-4021
https://www.cve.org/CVERecord?id=CVE-2010-4021 -
Référence CVE CVE-2011-1785
https://www.cve.org/CVERecord?id=CVE-2011-1785 -
Référence CVE CVE-2011-1786
https://www.cve.org/CVERecord?id=CVE-2011-1786
Gestion détaillée du document
| Date | Description |
|---|---|
| 29 avril 2011 | version initiale. |