وجود چهار آسیب‌پذیری در محصول vRealize Log Insight شرکت VMware را وادار به ارائه به روزرسانی کرده است. از چهار ضعف امنیتی گزارش شده، دو نقص از درجه اهمیت حیاتی (critical) می‌باشند که به مهاجم اجازه اجرای کدهای مورد نظرش از راه دور بدون نیاز به احراز هویت را می‌دهند. دو باگ دیگر دارای درجه مهم (important) و متوسط (moderate) می‌باشند.
شرکت VMware به دلیل اهمیت بالای این آسیب‌پذیری در محصول vRealize Log Insight امتیاز CVSSv3 9.8 را به آن اختصاص داده است. این آسیب‌پذیری که از نوع Directory Traversal است به مهاجم اجازه اجرای کدهایش را از راه دور می‌دهد. مهاجم در برای اکسپلویت نیازی به احراز هویت شدن ندارد بلکه تنها با تزریق فایل‌های مخرب به سیستم عامل قربانی می‌تواند راه را برای اجرای کدهایش باز نماید.
شرکت VMware به دلیل اهمیت بالای این نقص فنی امتیاز CVSSv3 9.8 را به آن اختصاص داده است. در روند اکسپلویت این باگ فنی نیز مهاجم با تزریق فایل‌های مخرب به سیستم عامل قربانی می‌تواند کدهای مورد نظرش را از راه دور اجرا کند.
آسیب‌پذیری بعدی با امتیاز CVSSv3 7.5 به مهاجم اجازه می‌دهد تا حالت انکار سرویس DoS را بر روی سیستم قربانی اجرا نماید.
این آسیب‌پذیری با درجه اهمیت متوسط امتیاز CVSSv3 5.3 را به خود اختصاص داده است. مهاجم با اکسپلویت این آسیب‌پذیری بدون نیاز به احراز هویت می‌تواند به اطلاعات حساس قربانی دست یابد.
این آسیب‌پذیری با درجه اهمیت متوسط امتیاز CVSSv3 5.3 را به خود اختصاص داده است. مهاجم با اکسپلویت این آسیب‌پذیری بدون نیاز به احراز هویت می‌تواند به اطلاعات حساس قربانی دست یابد.
در جدول زیر اطلاعات کاملی در خصوص نسخه‌های آسیب‌پذیر و نسخه‌های ارائه شده برای برطرف کردن این آسیب‌پذیری فراهم شده است.
| Product | Version | Running On | CVE Identifier | CVSSv3 | Severity | Fixed Version | Workarounds | Additional Documentation |
|
VMware vRealize Log Insight
|
۸٫x
|
Any
|
CVE-2022-31706, CVE-2022-31704, CVE-2022-31710, CVE-2022-31711
|
۹٫۸, ۹٫۸, ۷٫۵, ۵٫۳
|
critical
|
None
|
||
|
VMware Cloud Foundation (VMware vRealize Log Insight)
|
۴٫x, 3.x
|
Any
|
CVE-2022-31706, CVE-2022-31704, CVE-2022-31710, CVE-2022-31711
|
۹٫۸, ۹٫۸, ۷٫۵, ۵٫۳
|
critical
|
None
|