VMware 发布安全更新以应对严重漏洞

关键要点

• VMware 于 4 月 25 日发布了安全更新，修复 Workstation 和 Fusion 软件中的多个漏洞，其中一个可能导致远程代码执行。
• 最重要的漏洞是 CVE-2023-20869，评级为 9.3，涉及虚拟机蓝牙设备共享功能的堆栈溢出。
• 另一漏洞 CVE-2023-20870，评级为 7.1，也影响这两个产品，包含越界读取的漏洞。
• VMware 建议暂时关闭虚拟机的蓝牙支持以避免这些漏洞。
• 还有两个漏洞 CVE-2023-20871 和 CVE-2023-20872，分别评级为 7.3 和 7.7，涉及特权提升和 SCSI 设备仿真问题。

VMware 最近在 4 月 25 日发布了针对其产品中一些漏洞的安全更新和应急措施。这些安全漏洞是被私下报告给 VMware 的，影响其 Workstation 和 Fusion 软件。其中最关键的是 CVE-2023-20869，该漏洞的评级为 9.3。

：这个漏洞涉及到共享主机蓝牙设备与虚拟机功能的“基于堆栈的缓冲区溢出”。“有本地管理权限的恶意用户可以利用这一问题在主机上作为虚拟机的 VMX 进程执行代码。”

第二个漏洞，CVE-2023-20870，评级为 7.1，同样影响这两个产品，并存在“在共享主机蓝牙设备与虚拟机功能中存在的越界读取漏洞。”

为了应对这两个漏洞，VMware 暂时建议 。

第三个漏洞，CVE-2023-20871，被描述为 VMware Fusion 中的本地特权提升漏洞。该漏洞的评级为 7.3，允许有读写访问主机操作系统的恶意用户提升权限以获得对主机操作系统的根访问。

最后，第四个漏洞评级为 7.7，影响 Workstation 和 Fusion。CVE-202320872 包含“SCSI CD/DVD设备仿真中的越界读/写漏洞”。

为了缓解第三个和第四个漏洞，建议更新到最新版本。

VMware 感谢 STAR Labs 报告这些漏洞，这些漏洞是在 2023 年 3 月的 Pwn2Own 安全竞赛中被发现的。