一、 漏洞公告
近日，監(jiān)測到VMware官方發(fā)布安全公告，修復了多個VMware vRealize Log Insight高危漏洞，其中包括目錄穿越漏洞(CVE-2022-31706)、訪問控制不當漏洞(CVE-2022-31704)、反序列化漏洞(CVE-2022-31710)和信息泄露漏洞(CVE-2022-31711)目前官方已發(fā)布安全版本，建議受影響的用戶盡快采取安全措施。
參考鏈接：https://www.vmware.com/security/advisories/VMSA-2023-0001.html
VMware歷史安全漏洞公告參考：https://www.vmware.com/security/advisories.html
二、影響范圍
受影響版本：
VMware vRealize Log Insight 8.x < 8.10.2
VMware Cloud Foundation (VMware vRealize Log Insight) 4.x
VMware Cloud Foundation (VMware vRealize Log Insight) 3.x
安全版本：
VMware vRealize Log Insight >= 8.10.2
三、漏洞描述
VMware vRealize Log Insight 是一個日志分析管理工具。利用基于機器學習的智能分組和高性能搜索功能,可跨物理環(huán)境、虛擬環(huán)境和云環(huán)境管理海量數(shù)據(jù)、了解運維情況并加快故障排除。
VMware vRealize Log Insight目錄穿越漏洞(CVE-2022-31706)：VMware vRealize Log Insight存在一個目錄穿越漏洞，未經身份驗證的惡意行為者可以將文件注入受影響設備的操作系統(tǒng)，從而導致遠程代碼執(zhí)行。
VMware vRealize Log Insight訪問控制不當漏洞(CVE-2022-31704)：VMware vRealize Log Insight存在一個失效的訪問控制漏洞，未經身份驗證的惡意行為者可以將文件注入受影響設備的操作系統(tǒng)，從而導致遠程代碼執(zhí)行。
VMware vRealize Log Insight反序列化漏洞(CVE-2022-31710)：VMware vRealize Log Insight存在一個反序列化漏洞，未經身份驗證的惡意行為者可以遠程觸發(fā)不可信數(shù)據(jù)的反序列化，可能導致系統(tǒng)拒絕服務。
VMware vRealize Log Insight信息泄露漏洞(CVE-2022-31711)：VMware vRealize Log Insight存在一個信息泄露漏洞，未經身份驗證的惡意行為者可以遠程收集敏感會話和應用程序信息。
四、緩解措施
高危：目前漏洞細節(jié)和利用代碼暫未公開，但可以通過補丁對比方式定位漏洞觸發(fā)點，建議部署相關產品的用戶及時測試并升級到漏洞修復的版本。
處置建議：
1、目前官方已發(fā)布安全版本修復上述漏洞，建議受影響的用戶升級VMware vRealize Log Insight至安全版本。
下載鏈接：https://customerconnect.vmware.com/downloads/details?downloadGroup=VRLI-8102&productId=1351
升級文檔：https://docs.vmware.com/en/vRealize-Log-Insight/8.10.2/rn/vrealize-log-insight-8102-release-notes/index.html
來源：VMware官方
