El vRealize Operations for Horizon es una solución de VMWare que recopila datos de rendimiento de software y hardware en entornos VMware Horizon, ayuda a los administradores a recibir alertas, como por ejemplo los cuellos de botella, además proporciona métricas históricas en tiempo real en paneles web para el análisis de rendimiento. El componente Horizon Adapter es el encargado de reunir todos los datos recibidos de los Agentes intermediarios así como de los Agentes de escritorios. Para más información sobre vRealize Operations for Horizon, puede visitar el enlace
¿Qué pasó?
Recientemente VMware ha lanzado un aviso de seguridad, donde se informa la corrección de tres vulnerabilidades, identificadas y catalogadas como: CVE-2020-3943 de riesgo crítico, CVE-2020-3944 de riesgo importante y CVE-2020-3945 de riesgo moderado. Estas vulnerabilidades podrían ser explotadas siempre y cuando el atacante tenga acceso a la red de vRealize Operations y el Horizon Adapter se encuentre en ejecución.
El CVE-2020-3943 se da debido a que vRealize Operations for Horizon Adapter utiliza el servicio JMX RM (Java Management Extensions, una tecnología de Java que proporciona herramientas para administrar y monitorear aplicaciones, objetos del sistema, dispositivos y redes orientadas a servicios) y este no se encuentra configurado de manera adecuada, lo que permitiría a un atacante remoto no autenticado ejecutar código remoto en el sistema afectado.
Mientras que, el CVE-2020-3944 se da debido a una configuración inadecuada en el almacén de confianza (trust store) de las entidades certificadoras de vRealize Operations for Horizon Adapter, lo que permitiría a un atacante remoto no autenticado omitir la autenticación en Horizon Adapter.
Por último, el CVE-2020-3945 se da debido a una incorrecta implementación de emparejamiento entre vRealize Operations for Horizon Adapter y Horizon View, con lo que un atacante no autenticado podría obtener acceso a información de carácter confidencial, pudiendo esta ser utilizada para omitir la autenticación en Horizon Adapter.
Estas vulnerabilidades afectan a versiones de vRealize Operations for Horizon Adapter anteriores a 6.7.1 y 6.6.1.
Recomendación:
Actualizar VMWare vRealize Operations for Horizon Adapter a la versión 6.7.1 o 6.6.1.
Referencias: