Risque
Exécution de code arbitraire.
Systèmes affectés
- VMware Workstation 6.0.3 et versions antérieures ;
- VMware Player 2.0.3 et versions antérieures ;
- VMware ACE 2.0.3 et versions antérieures ;
- VMware Fusion 1.1.1 et versions antérieures.
Résumé
Deux vulnérabilités affectent les produits VMware. Elles permettent à une personne malveillante ayant accès au système virtualisé d'exécuter du code arbitraire sur l'hôte.
Description
La première vulnérabilité affecte la fonctionnalité HGFS (Host Guest File System) qui permet de réaliser un partage de fichiers entre le système virtualisé et le système hôte. Une vulnérabilité de type débordement de mémoire permet à une personne malveillant d'exécuter du code arbitraire sur le système réel.
Cette vulnérabilité n'est pas exploitable dans la configuratin par défaut, sachant qu'aucun répertoire n'est partagé.
La seconde vulnérabilité affecte le service VMCI (Virtual Machine Communication Interface. Cette vulnérabilité permet à une personne malveillante d'exécuter du code arbitraire sur le système hôte fonctionnant sous Microsoft Windows. Cette vulnérabilité est causée par une erreur dans le traitement des fichiers de configuration vmx.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité VMware VMSA-2008-0008 du 30 mai 2008 :
http://www.vmware.com/security/advisories/VMSA-2008-0008.html
- Référence CVE CVE-2008-2098 :
https://www.cve.org/CVERecord?id=CVE-2008-2098
- Référence CVE CVE-2008-2099 :
https://www.cve.org/CVERecord?id=CVE-2008-2099
