CVE-2020-3960 | VMware多个产品信息泄露缝隙公告

颁布功夫 2020-06-11

0x00 缝隙概述


产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

VMware vSphere ESXi (ESXi)

CVE-2020-3960

ROB

严沉

是

ESXi 6.5、6.7

VMware Workstation Pro / Player (Workstation)

CVE-2020-3960

ROB

严沉

是

Workstation 15.x

VMware Fusion Pro / Fusion (Fusion)

CVE-2020-3960

ROB

严沉

是

Fusion 11.x


0x01 缝隙详情


GA黄金甲·(中国区)官方网站

VMware虚构机软件，是全球桌面到数据中心虚构化解决规划的辅导厂商。全球分歧规模的客户依附VMware来降低成本和运营用度、确保业务持续性、加强安全性并走向绿色。

2020年6月9日VMware颁布安全更新，建复了VMware ESXi、Workstation和Fusion产品中的多个安全缝隙，具体信息如下：

Vmware ESXi、Workstation和Fusion产品中的NVMe职能中蕴含越界读取缝隙（CVE-2020-3960）。攻击者能够利用该缝隙以非治理员身份接见虚构机并从内存中读取特权信息。

NVMe（Nonvolatile Memory Express，非易失性内存尺度）是一种闪存和下一代固态驱动器 (SSD) 的全新存储接见和传输和谈，可为所有类型的企业工作负载提供最高的吞吐量和最快的响应快率。


0x02 措置建议


VMware已经颁布上述缝隙的补丁，但是没有提供解决步骤。

ESXi 6.7补丁法式ESXi670-202006401-SG

https://my.vmware.com/group/vmware/patch

https://docs.vmware.com/en/VMware-vSphere/6.7/rn/ESXi670-202006401-SG.html


ESXi 6.5补丁法式ESXi650-202005401-SG

https://my.vmware.com/group/vmware/patch

https://docs.vmware.com/en/VMware-vSphere/6.5/rn/ESXi650-202005401-SG.html


VMware Workstation Pro 15.5.5

https://www.vmware.com/go/downloadworkstation

https://docs.vmware.com/cn/VMware-Workstation-Pro/index.html


VMware Fusion 11.5.5

https://www.vmware.com/go/downloadfusion

https://docs.vmware.com/cn/VMware-Fusion/index.html

 

0x03 有关新闻


https://securityaffairs.co/wordpress/104579/security/vmware-products-flaw.html?utm_source=rss&utm_medium=rss&utm_campaign=vmware-products-flaw


0x04 参考链接


https://www.vmware.com/security/advisories/VMSA-2020-0012.html


0x05 功夫线


2020-06-09 VMware颁布缝隙布告

2020-06-11 VSRC颁布缝隙公告


GA黄金甲·(中国区)官方网站