Việc phát hành bản vá bảo mật View Planner 4.6 vào ngày 2/3/2021 giúp Vmware xử lý lỗ hổng CVE-2021-21978. Lỗ hổng có điểm CVSS là 8,6, có khả năng cho phép kẻ tấn công thực thi mã từ xa.
Theo giải thích của VMware, trong thực tế, lỗ hổng bắt nguồn từ việc xác thực không đúng đầu vào cùng với việc thiếu sự ủy quyền. Lỗ hổng có thể bị lợi dụng để tải lên các tệp tin tùy ý trong nhật ký tải lên ứng dụng web dẫn đến việc thực thi mã từ xa.
Công ty cho biết, kẻ tấn công muốn khai thác lỗ hổng này thì cần phải xâm nhập mạng để truy nhập View Planner Harness sau đó lợi dụng lỗ hổng để tải lên một tệp tin lừa đảo đặc biệt rồi thực thi nó. Về bản chất, đây là kết quả của việc thực thi mã từ xa trong vùng chứa nhật ký tải lên.
Công ty cũng lưu ý rằng, lỗ hổng được xếp vào loại rất nghiêm trọng và được một cá nhân báo cáo về công ty.
Vmware khuyến nghị tất cả khách hàng bị ảnh hưởng nên áp dụng bản vá bảo mật được phát hành trong tuần này để được đảm bảo sự an toàn.
VMware là một công ty phần mềm lớn vốn thuộc tập đoàn EMC chuyên làm phần mềm tạo máy ảo cho các hệ thống máy tính. Lỗ hổng được Mikhail Klyuchnikov, nhà nghiên cứu của Positive Technologies báo cáo và Vmware chưa đề cập đến việc lỗ hổng bị khai thác trong thực tế.
