VMware a finalement publié des correctifs pour une faille de haute gravité après huit mois de sa divulgation permettant une élévation de privilèges dans le mécanisme IWA (Integrated Windows Authentication) de vCenter Server.

Selon VMware, ce bogue (CVE-2021-22048) ne peut être exploité qu'à partir du même réseau physique ou logique sur lequel se trouve le serveur ciblé dans le cadre d'attaques de haute complexité nécessitant de faibles privilèges et aucune interaction avec l'utilisateur (toutefois, la fiche du NIST NVD indique qu'il est exploitable à distance dans le cadre d'attaques de faible complexité).

Malgré cela, VMware a évalué la gravité de ce bogue comme étant dans la gamme de gravité importante, ce qui signifie que "l'exploitation entraîne la compromission complète de la confidentialité et/ou de l'intégrité des données de l'utilisateur et/ou des ressources de traitement par l'assistance de l'utilisateur ou par des attaquants authentifiés."

La société a publié une mise à jour de sécurité pour une seule version (7.0) et elle a fourni une solution de contournement pour supprimer le vecteur d'attaque pour les autres versions concernées.

Pour bloquer les tentatives d'attaque, VMware conseille aussi les administrateurs de passer à l'authentification Active Directory over LDAPs en précisant que cette solution n’est pas impactée par la faille.