O vRealize Operations é um produto que oferece uma solução de gestão de operações em ambientes físicos, virtuais e em nuvem, suportando ambientes baseados em vSphere, Hyper-V ou Serviços Web da Amazon (AWS). Instalações do adaptador da Horizon criados no gestor da vRealize permitem essencialmente que os utilizadores recebam comunicações dos agentes Horizon instalados em máquinas virtuais.
São três falhas as reportadas para o produto, indo desde a possibilidade de ultrapassagem dos mecanismos de segurança a execução de código remota.
A falha de execução de código remota, mais grave, dada pelo CVE-2020-3943, pode ser explorada por um atacante não autenticado com acesso ao vRealize Operations e que tenha o Horizon Adapter a correr. Isto acontece, porque o vRealize Operations tem o serviço do JMX RMI a correr e não está configurado da forma mais segura.
A segunda falha, dada pelo CVE-2020-3944, permite a um atacante ultrapassar os mecanismos de segurança na autenticação do Adaptador.
Por último, uma falha de nível moderado, dada pelo CVE-2020-3945, é uma falha de acesso a informação sensível, causada pela implementação incorreta de emparelhamento no produto
Versões afetadas:
6.6.x e 6.7.x no Windows.
Versões corrigidas
6.6.1 e 6.7.1
Mais informações: https://www.securityweek.com/vmware-patches-serious-flaws-vrealize-operations-horizon-adapter
