VMware Aria曝高危漏洞，可绕过SSH身份验证访问核心权限

最近的网络安全观察中发现，VMware Aria Operations for Networks（以前称为 vRealize Network Insight）曝出核心安全漏洞，已提供概念验证 (PoC) 漏洞利用代码。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，该漏洞的编号为CVE-2023-34039，CVSS评分为 9.8 分（满分 10 分），并被描述为由于缺乏唯一加密密钥生成而导致身份验证绕过的情况。

VMware表示，具有 Aria Operations for Networks 网络访问权限的恶意行为者可以绕过 SSH 身份验证来访问 Aria Operations for Networks CLI。

网络安全研究人员在分析了 VMware 发布的补丁后发布了 PoC，该漏洞根本原因可以追溯到包含名为refresh_ssh_keys() 的方法的 bash 脚本，该方法负责覆盖当前的 SSH 密钥支持和ubuntu用户在authorized_keys文件中。有 SSH 身份验证，但是VMware 忘记重新生成密钥，VMware 的 Aria Operations for Networks 已将其密钥从版本 6.0 硬编码到 6.10。

VMware 的最新修复还解决了 CVE-2023-20890，这是一个影响 Aria Operations for Networks 的任意文件写入漏洞，具有管理访问权限的对手可能会滥用该漏洞将文件写入任意位置并实现远程代码执行。

换句话说，攻击者可以利用 PoC 获得设备的管理员访问权限，并利用 CVE-2023-20890 运行任意负载，因此用户应用更新以防范潜在威胁至关重要。

PoC 的发布恰逢VMware针对多个 Windows 和 Linux 版本的 VMware Tools 中的高严重性 SAML 令牌签名绕过缺陷（CVE-2023-20900，CVSS 评分：7.5）发布修复程序。VMware表示，在虚拟机网络中部署中间人 (MITM) 网络的恶意行为者可能能够绕过 SAML 令牌签名验证，从而执行 VMware Tools 来宾操作。

GitHub 安全实验室报告了该漏洞，该漏洞影响以下版本：

• 适用于 Windows 的 VMware Tools（12.xx、11.xx、10.3.x）- 已在 12.3.0 中修复。
• 适用于 Linux 的 VMware Tools (10.3.x) – 已在 10.3.26 中修复。
• 适用于 Linux 的 VMware Tools 或 open-vm-tools（12.xx、11.xx、10.3.x）的开源实现 – 在 12.3.0 中修复（由 Linux 供应商分发）。

与此同时，安全研究人员警告称，威胁行为者继续利用Adob​​e ColdFusion 漏洞来部署加密货币挖矿程序和混合机器人，例如 satan DDoS（又名 Lucifer）和 RudeMiner（又名 SpreadMiner），这些机器人能够进行加密劫持和分布式拒绝服务 (DDoS) 攻击。

还部署了一个名为BillGates（又名Setag）的后门，该后门以劫持系统、窃取敏感信息和发起 DDoS 攻击而闻名。