VMware a publié les correctifs pour des vulnérabilités affectant son hyperviseur ESXi, sa plateforme de cloud hybride Cloud Foundation et son outil de virtualisation d'applications ThinApp.

La plus grave, référencée CVE-2021-21994, est une faille d'authentification incorrecte dans SFCB (Small Footprint CIM Broker) tel qu'utilisé dans ESXi. Son score CVSS est de 7,0.

Selon VMware, un acteur malveillant ayant un accès réseau au port 5989 sur ESXi peut envoyer une requête spécialement conçue pour contourner l'authentification SFCB. La vulnérabilité n'est exploitable que si le service SFCB est en cours d'exécution. Par défaut, cependant, le service n'est pas activé.

Dans son avis, l'entreprise de technologie de virtualisation et de cloud computing détaille également la CVE-2021-21995, un problème de lecture hors limites de la mémoire tas dans ESXi OpenSLP qui pourrait conduire à un déni de service (DoS). Avec un score CVSS de 5.3, la vulnérabilité est considérée comme étant de gravité modérée.

Selon VMware, le bug pourrait être exploité par un acteur malveillant ayant un accès réseau au port 427 sur ESXi pour provoquer un déni de service.

Autre vulnérabilité, repérée sous le nom de CVE-2021-22000 et ayant un score CVSS de 6,8, touche le produit VMware ThinApp à cause de la possibilité de chargement non sécurisé de DLL. Elle pourrait être exploitée par un acteur malveillant disposant des privilèges non administratifs pour élever ses privilèges au niveau administrateur sur le système d'exploitation Windows sur lequel ThinApp est installé.

Les administrateurs systèmes et les utilisateurs de ces produits sont invités à appliquer les correctifs le plus rapidement possible afin de se protéger.