Агенцията за национална сигурност на САЩ (NSA) предупреждава, че спонсорирани от руската държава хакери използват открита наскоро уязвимост на VMware, за да крадат чувствителна информация след разполагане на web shells на уязвими сървъри.
„NSA насърчава Националната система за сигурност (NSS), Министерството на отбраната (DoD) и администраторите на мрежи на отбранителната индустриална база (DIB) да дават приоритет на смекчаването на уязвимостта на засегнатите сървъри“, заяви разузнавателната агенция на Министерството на отбраната на САЩ.
Когато бяха помолени от журналисти да предоставят повече информация за целите, компрометирани при тези атаки, от NSA казаха, че „не споделят публично подробности за жертвите на чуждестранна злонамерена кибер дейност“.
„Всяка организация, която използва засегнатите продукти, трябва да предприеме незабавни действия, за да приложи пуснатите от производителя пачове“, призова НСА.
NSA също се въздържа от предоставяне на допълнителна информация за началната дата на тези атаки, като казва, че „ не предоставяме конкретни данни за източника на някаква конкретна информация, за да можем да продължим да изпълняваме нашата жизненоважна роля за нацията, включително развитието и споделяне на технически указания като този доклад. “
Налични са актуализации
VMware пусна актуализации на защитата за отстраняване на грешката в сигурността на 3.12., след като публично оповести уязвимостта преди две седмици и предостави временно решение, което напълно премахва вектора на атака и предотвратява експлоатацията.
CVE-2020-4006 първоначално беше оценен като критична уязвимост, но VMware понижи максималната си степен на сериозност до „Важно“, след като пусна пач и сподели, че експлоатацията изисква „валидна парола за администраторския акаунт на конфигуратора“.
„Този акаунт е вътрешен за засегнатите продукти и по време на инсталирането се задава парола. Злонамереният хакер трябва да притежава тази парола, за да се опита да използва CVE-2020-4006“, обяснява VMware.
Пълният списък на версиите на продукти на VMware, засегнати от началото на атаката, включва:
- VMware Workspace One Access 20.01, 20.10 (Linux)
- VMware Identity Manager (vIDM) 3.3.1 до 3.3.3 (Linux)
- VMware Identity Manager Connector (vIDM Connector) 3.3.1, 3.3.2 (Linux)
- VMware Identity Manager Connector (vIDM Connector) 3.3.1, 3.3.2, 3.3.3 / 19.03.0.0, 19.03.0.1 (Windows)
- VMware Cloud Foundation 6 4.x
- VMware vRealize Suite Lifecycle Manager 7 8.x
Администраторите, които не могат незабавно да инсталират корекцията, могат да използват временното решение, за да предотвратят експлоатацията на CVE-2020-4006.
