VMware Tools-এ একটি গুরুত্বপূর্ণ-রেটেড নিরাপত্তা দুর্বলতা স্থানীয় বিশেষাধিকার বৃদ্ধির (LPE) পথ প্রশস্ত করতে পারে এবং গুরুত্বপূর্ণ কর্পোরেট ডেটা, ব্যবহারকারীর তথ্য এবং শংসাপত্র এবং অ্যাপ্লিকেশনগুলিকে ধারণ করে এমন ভার্চুয়াল মেশিনগুলির সম্পূর্ণ দখল করতে পারে৷
ভিএমওয়্যার টুল হল পরিষেবা এবং মডিউলগুলির একটি সেট যা ভিএমওয়্যার পণ্যগুলিতে গেস্ট অপারেটিং সিস্টেমের (গেস্ট ওএস) সাথে ব্যবহারকারীর মিথস্ক্রিয়া পরিচালনা করতে ব্যবহৃত বিভিন্ন বৈশিষ্ট্য সক্ষম করে। অতিথি ওএস ইঞ্জিন হল ভার্চুয়াল মেশিনকে শক্তি দেয়।
"অতিথি ওএসে স্থানীয় অ-প্রশাসনিক অ্যাক্সেস সহ একজন দূষিত অভিনেতা ভার্চুয়াল মেশিনে রুট ব্যবহারকারী হিসাবে বিশেষাধিকার বৃদ্ধি করতে পারে," এই সপ্তাহে জারি করা VMware-এর নিরাপত্তা পরামর্শ অনুসারে, যা উল্লেখ করেছে যে বাগটি হিসাবে ট্র্যাক করা হয়েছে জন্য CVE-2022-31676, CVSS দুর্বলতা-তীব্রতা স্কেলে 7.0-এর মধ্যে 10 রেটিং বহন করে।
ভলকান সাইবারের সিনিয়র টেকনিক্যাল ইঞ্জিনিয়ার মাইক পার্কিনের মতে, শোষণের পথ অনেক রূপ নিতে পারে।
"এটি রিলিজ থেকে স্পষ্ট নয় যে এটির জন্য ভিএমওয়্যার ভার্চুয়াল কনসোল ইন্টারফেসের মাধ্যমে অ্যাক্সেসের প্রয়োজন আছে কিনা বা গেস্ট ওএসে কিছু ধরণের দূরবর্তী অ্যাক্সেস সহ ব্যবহারকারী, যেমন উইন্ডোজে আরডিপি বা লিনাক্সের জন্য শেল অ্যাক্সেস, দুর্বলতাকে কাজে লাগাতে পারে কিনা," তিনি ডার্ক রিডিং বলে। "অতিথি ওএসে অ্যাক্সেস সীমিত হওয়া উচিত, তবে এমন অনেকগুলি ব্যবহারের ক্ষেত্রে রয়েছে যা স্থানীয় ব্যবহারকারী হিসাবে ভার্চুয়াল মেশিনে লগ ইন করতে হবে।"
ভার্চুয়ালাইজেশন ভার্চুসো সমস্যাটি প্যাচ করেছে, প্যাচড-সংস্করণের বিবরণ নিরাপত্তা সতর্কতায় উপলব্ধ। ত্রুটির জন্য কোন সমাধান নেই, তাই প্রশাসকদের আপস এড়াতে আপডেটটি প্রয়োগ করা উচিত।
সমস্যাটি, সমালোচনামূলক না হলেও, যত তাড়াতাড়ি ব্যবহারযোগ্য তত তাড়াতাড়ি প্যাচ করা উচিত, পার্কিন সতর্ক করে: "এমনকি ক্লাউড মাইগ্রেশনের সাথেও, ভিএমওয়্যার অনেক এন্টারপ্রাইজ পরিবেশে ভার্চুয়ালাইজেশনের প্রধান রয়ে গেছে, যা কোনও বিশেষাধিকার বৃদ্ধির দুর্বলতাকে সমস্যাযুক্ত করে তোলে।"
সমঝোতার জন্য নিরীক্ষণ করার জন্য, Netenrich-এর প্রধান হুমকি শিকারী জন ব্যামবেনেক, শংসাপত্রের অপব্যবহার শনাক্ত করার জন্য আচরণগত বিশ্লেষণ মোতায়েন করার সুপারিশ করেন, সেইসাথে সমস্যাযুক্ত কর্মচারীদের সনাক্ত করার জন্য একটি অভ্যন্তরীণ হুমকি প্রোগ্রাম যারা তাদের ইতিমধ্যে বৈধ অ্যাক্সেসের অপব্যবহার করতে পারে।
"ভিএমওয়্যার (এবং সম্পর্কিত) সিস্টেমগুলি সর্বাধিক সুবিধাপ্রাপ্ত সিস্টেমগুলি পরিচালনা করে এবং তাদের সাথে আপস করা হুমকি অভিনেতাদের জন্য একটি শক্তি গুণক," তিনি বলেছেন।
প্যাচ একটি প্রকাশের হিল উপর আসে গুরুতর বাগ এই মাসের শুরুর দিকে যা আক্রমণকারীদের প্রাথমিক স্থানীয় অ্যাক্সেস এবং এই ধরনের এলপিই দুর্বলতাগুলিকে কাজে লাগানোর ক্ষমতা দিতে, অন-প্রিমিসেস ভিএমওয়্যার বাস্তবায়নের জন্য প্রমাণীকরণকে বাইপাস করার অনুমতি দেবে।
