{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"VMware vIDM Connector version 3.3.3 pour Windows","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware vIDM version 3.3.2 pour Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware vIDM Connector version 3.3.1 pour Windows et Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware vIDM version 3.3.1 pour Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware vIDM Connector version 3.3.2 pour Windows et Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware Access version 20.10 pour Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware vIDM version 3.3.3 pour Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware Access version 20.01 pour Linux","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}},{"description":"VMware Cloud Foundation (vIDM) version 4.x","product":{"name":"Cloud Foundation","vendor":{"name":"VMware","scada":false}}},{"description":"vRealize Suite Lifecycle Manager (vIDM) version 8.x","product":{"name":"N/A","vendor":{"name":"VMware","scada":false}}}],"affected_systems_content":null,"closed_at":"2020-12-17","content":"## Solution\n\n**\\[version du 07 d\u00e9cembre 2020\\]** L'\u00e9diteur a publi\u00e9 le correctif pour\nl'ensemble des versions **\\[3\\]**.\n\n**\\[version initiale\\]** A l'heure de r\u00e9daction de cette alerte,\nl'\u00e9diteur n'a pas mis de correctif \u00e0 disposition. Nous mettrons \u00e0 jour\ncette alerte d\u00e8s qu'un correctif sera annonc\u00e9.\n\nLe CERT-FR recommande fortement :\n\n-   d'appliquer sans d\u00e9lai le contournement publi\u00e9 par l'\u00e9diteur\n    **\\[2\\]** tant que le correctif n'est pas d\u00e9ploy\u00e9. Ce contournement\n    permet de d\u00e9sactiver l'interface d'administration et de la r\u00e9activer\n    uniquement lorsque cela est n\u00e9cessaire.\n-   de ne pas exposer cette interface d'administration (TCP/8443 par\n    d\u00e9faut) en dehors du r\u00e9seau d'administration \\[1\\].\n\n\u00a0\n\n\u00a0\n\n------------------------------------------------------------------------\n\nLa mise \u00e0 jour d\u2019un produit ou d\u2019un logiciel est une op\u00e9ration d\u00e9licate\nqui doit \u00eatre men\u00e9e avec prudence. Il est notamment recommand\u00e9\nd\u2019effectuer des tests autant que possible. Des dispositions doivent\n\u00e9galement \u00eatre prises pour garantir la continuit\u00e9 de service en cas de\ndifficult\u00e9s lors de l\u2019application des mises \u00e0 jour comme des correctifs\nou des changements de version.\n","cves":[{"name":"CVE-2020-4006","url":"https://www.cve.org/CVERecord?id=CVE-2020-4006"}],"links":[{"title":"avis CERT-FR CERTFR-2020-AVI-771 du 24 novembre 2020","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-771/"},{"title":"[3] Correctif officiel publi\u00e9 par VMware","url":"https://kb.vmware.com/s/article/81754"},{"title":"[1]\u00a0Recommandations de l'ANSSI relatives \u00e0 l\u2019administration s\u00e9curis\u00e9e des syst\u00e8mes d\u2019information","url":"https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/"},{"title":"[2] Contournement officiel publi\u00e9 par VMware","url":"https://kb.vmware.com/s/article/81731"}],"reference":"CERTFR-2020-ALE-024","revisions":[{"description":"Version initiale","revision_date":"2020-11-24T00:00:00.000000"},{"description":"Publication du correctif par l'\u00e9diteur","revision_date":"2020-12-07T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l'exploitation de la vuln\u00e9rabilit\u00e9 correspondante.","revision_date":"2020-12-17T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans l'interface d'administration des\nproduits Workspace One Access, Workspace One Access Connector, Identity\nManager et Identity Manager Connector qui regroupent plusieurs\nfonctionnalit\u00e9s de s\u00e9curit\u00e9 centralis\u00e9es : contr\u00f4leur d'acc\u00e8s \u00e0 l'espace\nde travail, authentification sur les applications (SaaS, webs et\nmobiles).\n\nLa vuln\u00e9rabilit\u00e9 n\u00e9cessite d'avoir connaissance d'un mot de passe\nd'administrateur valide et d'avoir un acc\u00e8s r\u00e9seau \u00e0 cette interface.\nN\u00e9anmoins, son exploitation permettrait \u00e0 un attaquant de prendre le\ncontr\u00f4le du syst\u00e8me et de pouvoir ainsi potentiellement se lat\u00e9raliser\nsur d'autres \u00e9quipements du syst\u00e8me d'information avec des privil\u00e8ges\n\u00e9lev\u00e9s.\n","title":"[MaJ] Vuln\u00e9rabilit\u00e9 dans les produits VMware","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 VMware VMSA-2020-0027 du 24 novembre 2020","url":"https://www.vmware.com/security/advisories/VMSA-2020-0027.html"}]}