PT-2022-6764 · Vmware · Vmware Tanzu Application Service For Vms+1

CVE-2023-20891 · Publicado 2022-11-01 · Atualizado 2023-08-03

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

VMware Tanzu Application Service for VMs and Isolation Segment (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma vulnerabilidade de divulgação de informações devido ao registro de credenciais em codificação hexadecimal nos logs de auditoria do sistema da plataforma. Um usuário mal-intencionado sem privilégios de administrador que tenha acesso aos logs de auditoria do sistema da plataforma pode acessar credenciais de administrador da API CF codificadas em hexadecimal e pode enviar novas versões maliciosas de um aplicativo. Em uma implantação padrão, usuários sem privilégios de administrador não têm acesso aos logs de auditoria do sistema da plataforma.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

BDU:2023-04285

CVE-2023-20891

Produtos afetados

Isolation Segment

Vmware Tanzu Application Service For Vms

Referências · 9

• https://osv.dev/vulnerability/CVE-2023-20891 · Aviso do Fabricante
• https://vmware.com/security/advisories/VMSA-2023-0016.html · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-04285 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2023-20891 · Nota de Segurança
• https://t.me/cibsecurity/67295 · Publicação no Telegram
• https://vuldb.com/ru/?id.235417 · Nota
• https://docs.vmware.com/en/VMware-Tanzu-Application-Service/4.0/tas-for-vms/api-endpoint.html · Nota
• https://securityaffairs.com/148793/security/vmware-tanzu-application-service-flaw.html · Nota
• https://t.me/cvenotify/55163 · Publicação no Telegram