Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

В VMware все еще колдуют над патчем для опасной дыры в vCenter Server, о которой эксперты CrowdStrike сообщили им в ноябре прошлого года. Два дня назад в список уязвимых версий продукта добавили новейшую — 8.0.

Уязвимость CVE-2021-22048 (8,8 балла CVSS по оценке NVD/NIST, разработчик оценил ее в 7,1 балла) относится к классу «повышение привилегий». Причиной ее появления является некорректная реализация механизма IWA (Integrated Windows Authentication, встроенная аутентификация Windows).

Согласно бюллетеню VMware, эксплойт требует прав доступа к серверу на уровне рядового пользователя. В случае успеха автор атаки сможет повысить привилегии до более полномочной группы.

Уязвимость актуальна для vCenter Server 6.5, 6.7, 7.0, 8.0, а также для Cloud Foundation (vCenter Server) версий 3.х и 4.х. Летом разработчики попытались решить проблему, выпустив vCenter Server 7.0 Update 3f, но через десять дней откатили патч, который оказался неудачным. Более того, при попытке установить обновление слетала веб-служба Secure Token Service (vmware-stsd), отвечающая за генерацию, проверку и обновление токенов SAML в рамках системы единого входа (SSO).

В отсутствие патчей VMware предлагает альтернативный метод защиты — сменить источник идентификации (через настройки SSO). Вместо IWA можно использовать Active Directory с доступом через LDAP или провайдера идентификаторов для службы ADFS (предпочтительнее, но возможно лишь при использовании vSphere 7.0 и выше).

За несколько дней до обновления списка продуктов, подверженных CVE-2021-22048, разработчик опубликовал бюллетень, посвященный новой уязвимости в vCenter Server — CVE-2022-31680. Проблема позволяет при наличии админ-прав на доступ выполнить любой код в системе и актуальна только для версии 6.5 продукта; патч уже доступен.

Microsoft признала проблему: в Windows 11 хотят сократить рекламу

Microsoft всё-таки услышала пользователей, уставших от навязчивых подсказок, рекомендаций и встроенной рекламы в Windows 11. В Редмонде подтвердили, что хотят сделать систему «спокойнее», с меньшим количеством апсейл-механик и навязывания собственных сервисов и продуктов.

Об этом стало известно на фоне анонса крупного обновления Windows 11, который Microsoft опубликовала 20 марта.

Корпорация пообещала сосредоточиться на производительности и повседневном удобстве: ускорить Проводник, перевести меню «Пуск» с React на WinUI 3, добавить возможность ставить обновления Windows на паузу на любой срок, а заодно сократить присутствие Copilot в некоторых приложениях, включая Блокнот.

На бумаге всё выглядит неплохо. Тем более что репутация Windows 11 в последнее время заметно просела. И дело не только в спорных дизайнерских решениях или постоянных экспериментах с интерфейсом. Последние обновления системы, как сообщается, вызывали самые разные проблемы, включая отвалившийся Remote Desktop и проблемы с выключением компьютеров.

Но технические сбои — только часть проблемы. Не меньше пользователей раздражает то, как активно Microsoft продвигает собственные сервисы прямо внутри Windows 11. Copilot встраивают буквально повсюду, включая меню «Пуск» и Блокнот, а сама система регулярно подталкивает людей использовать Edge, Bing, OneDrive и другие продукты экосистемы Microsoft.

На этом фоне в Сети даже появился язвительный термин Microslop — так часть недовольных пользователей стала называть нынешний подход компании к Windows.

Судя по всему, в Microsoft понимают, что перегнули палку. Один из технических руководителей компании, Скотт Хансельман, написал в X, что цель Microsoft — сделать Windows «более спокойной» системой с меньшим количеством апсейл-элементов. Это, пожалуй, один из самых прямых сигналов за последнее время, что внутри техногиганта действительно осознают усталость пользователей от постоянного навязывания фирменных сервисов.

Поводом для этого комментария стала жалоба пользователя, который сравнил методы продвижения Edge, Bing и рекламы в меню «Пуск» с тактиками на грани адваре.

RSS: Новости на портале Anti-Malware.ru