Objet: Vulnérabilité dans des produits VMware

• Référence: CERTA-2008-AVI-470
• Titre: Vulnérabilité dans des produits VMware
• Date de la première version: 23 septembre 2008
• Date de la dernière version: 23 septembre 2008
• Source(s): Bulletin de sécurité VMware VMSA-2008-0015 du 18 septembre 2008
• Pièce(s) jointe(s): Aucune(s)

Risque

• Déni de service à distance ;
• exécution de code arbitraire à distance.

Systèmes affectés

Les versions 3.5 de VMware ESXi et ESX utilisant openwsman 2.0.0.

Résumé

Le service openwsman exécuté par VMware EXS et ESXi est vulnérable à deux débordements de mémoire permettant l'exécution de code arbitraire à distance.

Description

Le service openwsman (Open Web Services Management) est vulnérable à deux débordements de mémoire lors de la lecture des entêtes des trames HTTP basic authentication. Ces vulnérabilités sont exploitables sans identifiants valides et permettent d'exécuter du code arbitraire à distance à l'aide d'une trame spécifiquement conçue.

Solution

Se référer au bulletin de sécurité VMware VMSA-2008-0015 du 19 septembre 2008 pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité VMware VMSA-2008-0015 du 19 septembre 2008 :

  http://www.vmware.com/security/advisories/VMSA-2008-0015.html
  

• Référence CVE CVE-2008-2234 :

  https://www.cve.org/CVERecord?id=CVE-2008-2234
  

Gestion détaillée du document

le 23 septembre 2008

version initiale.