利用VMware Cloud Director漏洞，黑客可以搶占公司服務器
等級為CVSSV3 8.8并分配給CVE-2020-3956，云服務交付平臺中的代碼注入漏洞可能使攻擊者能夠訪問敏感數(shù)據(jù)并接管企業(yè)內(nèi)私有云的控制。
等級為CVSSV3 8.8并分配給CVE-2020-3956，云服務交付平臺中的代碼注入漏洞可能使攻擊者能夠訪問敏感數(shù)據(jù)并接管企業(yè)內(nèi)私有云的控制。
黑客還可以利用此漏洞來控制云中的所有客戶。據(jù)發(fā)現(xiàn)該漏洞的道德黑客公司Citadelo稱，它還授予訪問權限以修改整個基礎結構的登錄部分，以捕獲另一個客戶的用戶名和密碼。
Citadelo首席執(zhí)行官Tomas Zatko說：“通常，云基礎架構被認為是相對安全的，因為其核心內(nèi)實現(xiàn)了不同的安全層，例如加密，網(wǎng)絡流量隔離或客戶細分?！?/p>
“但是，可以在任何類型的應用程序中找到安全漏洞，包括他們自己的云提供商?！?/p>
Citadelo今年被一家財富500強企業(yè)客戶聘用，以執(zhí)行安全審核并調(diào)查其基于VMware Cloud Director的云基礎架構。
利用代碼注入漏洞，公司的研究人員能夠查看內(nèi)部系統(tǒng)數(shù)據(jù)庫的內(nèi)容，包括分配給信息系統(tǒng)的所有客戶的密碼哈希。
從那里，他們能夠修改系統(tǒng)數(shù)據(jù)庫以竊取在Cloud Director中分配給不同組織的外部虛擬機（VM）。該漏洞還使他們可以將特權從客戶帳戶升級到系統(tǒng)管理員，并可以訪問所有云帳戶。
最后，他們可以讀取與客戶有關的所有敏感數(shù)據(jù)，例如全名，電子郵件地址或IP地址。
該漏洞最初于4月1日報告給VMware，并于本月底和5月發(fā)布了補丁程序。尚未應用此修復程序的組織仍然容易受到攻擊。
受影響的人員包括使用VMware vCloud Director的公共云提供商，使用VMware vCloud Director的私有云提供商，使用VMware vCloud Director技術的企業(yè)以及使用VMware Cloud Director的任何政府身份。
來源：techweb.com.cn
- 騰訊清遠云計算數(shù)據(jù)中心正式開服，為華南地區(qū)最大新基建項目2020-07-03
- 率先拿下可信物聯(lián)網(wǎng)云平臺認證，騰訊云物聯(lián)網(wǎng)獲權威認可2020-07-03
- 平頭哥首款AI芯片一換，阿里云服務器算力5倍GPU方案2020-06-13
- 阿里云蔣江偉：我們致力于為世界提供70%的算力2020-06-12
相關閱讀
GitHub遭攻擊！黑客給出十天限期：不交贖金，就公開用戶私有代碼
十天內(nèi)交0.1比特幣贖金（約合人民幣3800元），否則黑客將會公開代碼。
