VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила важные обновления, устраняющие уязвимости нулевого дня (0-day), которые можно использовать в связке для выполнения вредоносного кода удалённо. Известно, что проблема затрагивает гипервизоры Workstation и Fusion.

Две бреши стали частью одного эксплойта, работу которого исследователи из STAR Labs продемонстрировали на мероприятии Pwn2Own 2023 в Ванкувере.

По традиции у вендора были 90 дней на патчинг показанных на Pwn2Own дыр. Если в этот срок не будут выпущены соответствующие обновления, эксперты Trend Micro Zero Day опубликуют технические детали уязвимостей.

Первый баг — CVE-2023-20869 — представляет собой возможность переполнения буфера и затрагивает функциональность обмена информацией по Bluetooth между устройствами. Эта брешь позволяет условным атакующим удалённо выполнить код от лица процесса виртуальной машины VMX.

Вторая уязвимость — CVE-2023-20870 — открывает возможность для раскрытия информации. В случае её эксплуатации злоумышленник может прочитать конфиденциальные данные, содержащиеся в памяти гипервизора.

VMware также опубликовала обходной путь защиты от эксплуатации багов для тех админов, которые по каким-то причинам не хотят или не могут устанавливать патчи:

«Вы можете выключить поддержку Bluetooth на виртуальной машине».

Подпишитесь на новости

Клиентов российских ЦОДов могут отключать ради сервисов из белых списков

Оплаченный сервер может оказаться недостаточно веским аргументом: российские дата-центры могут обязать отключать неприоритетных клиентов, если мощности понадобятся сервисам из белых списков. Такой механизм обсуждают на случай потери части инфраструктуры.

Об инициативе узнал РБК от трёх источников в ИТ-отрасли. Обсуждение прошло на совещании в Минцифры 6 ноября.

Основа — указ президента о резервировании 10% площадей и мощностей ЦОДов. После решения специальной подкомиссии предоставить ресурсы потребуется в течение суток. Если свободного места не хватит, рассматривается отключение действующих клиентов.

По данным источников, такие отключения предлагают признавать форс-мажором. А невыполнение требований может стать основанием для введения временного управления дата-центром.

Требования предполагается распространить на коммерческие ЦОДы, включая площадки, обслуживающие одновременно внешних клиентов и собственные системы. Корпоративные дата-центры исключительно для внутренних нужд и пострадавшие площадки, по словам собеседников издания, под них не подпадут.

За само резервирование платить не планируют — только за фактически затребованное размещение. Участники рынка предупреждают: освободить мощности и перенести системы за сутки без подготовки крайне сложно.

В Минцифры подчёркивают, что механизм ещё прорабатывается вместе с экспертами и рынком.

RSS: Новости на портале Anti-Malware.ru