CVE-2020-4006 | VMware下令注入误差通告

宣布时间 2020-11-24

0x00 误差概述

CVE   ID

CVE-2020-4006

时    间

2020-10-24

类    型

下令注入

等    级

严重

远程使用

是

影响规模


 

0x01 误差详情

 

image.png

 

2020年11月23日，VMware宣布清静通告，其多个产品和组件的管理设置器中保存一个下令注入误差（CVE-2020-4006），其CVSS评分9.1 。

具有管理设置器8443端口的网络会见权限并拥有管理设置器admin帐户和密码的攻击者可以使用此误差在系统上执行下令 。


影响规模：

VMware Workspace One Access 20.10 (Linux)

VMware Workspace One Access 20.01 (Linux)

VMware Identity Manager 3.3.3 (Linux)

VMware Identity Manager 3.3.2 (Linux)

VMware Identity Manager 3.3.1 (Linux)

VMware Identity Manager Connector 3.3.2, 3.3.1 (Linux)

VMware Identity Manager Connector 3.3.3, 3.3.2, 3.3.1 (Windows)

VMware Cloud Foundation

vRealize Suite Lifecycle Manager

 

0x02 处置惩罚建议

现在VMware暂未宣布相关补丁，建议参考暂时修复指导手册尽快修复 。

产品

版本

平台

CVE ID

修复版本

暂时修复要领

Access

20.10

Linux

CVE-2020-4006

暂无补丁

https://kb.vmware.com/s/article/81731

Access

20.01

Linux

CVE-2020-4006

vIDM

3.3.3

Linux

CVE-2020-4006

vIDM

3.3.2

Linux

CVE-2020-4006

vIDM

3.3.1

Linux

CVE-2020-4006

vIDM Connector

3.3.3

Windows

CVE-2020-4006

vIDM Connector

3.3.2

Linux

CVE-2020-4006

vIDM Connector

3.3.2

Windows

CVE-2020-4006

vIDM Connector

3.3.1

Linux

CVE-2020-4006

vIDM Connector

3.3.1

Windows

CVE-2020-4006

VMware Cloud Foundation（vIDM）

4.x

Any

CVE-2020-4006

vRealize Suite Lifecycle Manager   (vIDM)

8.x

Any

CVE-2020-4006

 

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2020-0027.html

https://threatpost.com/vmware-zero-day-patch-pending/161523/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4006

 

0x04 时间线

2020-11-23  VMware宣布清静通告

2020-11-24  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png