VMware diz que 3 produtos Tanzu foram afetados pela vulnerabilidade Spring4Shell

A VMware divulgou no sábado que três produtos Tanzu são “impactados” pela vulnerabilidade de execução remota de código (RCE) no núcleo da mola conhecido como Spring4Shell.

A empresa disse em uma assessoria que os três produtos afetados são VMware Tanzu Software Provider para VMs, VMware Tanzu Operations Supervisor e VMware Tanzu Kubernetes Grid Built-in Version (TKGI).

“Um agente mal-intencionado com acesso à rede a um produto VMware afetado pode explorar esse problema para obter controle overall do sistema de destino”, disse a VMware no comunicado.

Patches agora estão disponíveis para Tanzu Software Provider para VMs (versões 2.11 e superiores), Tanzu Software Provider (versão 2.10) e Tanzu Operations Supervisor (versões 2.8 e superiores), de acordo com o comunicado.

Até o momento, o comunicado da VMware diz que os patches estão pendentes para as versões afetadas do TKGI, que são as versões 1.11 e superiores.

Detalhes sobre a vulnerabilidade que veio a ser conhecida como Spring4Shell vazaram na terça-feira, e a vulnerabilidade de código aberto foi reconhecida pela Spring, de propriedade da VMware, na quinta-feira.

A vulnerabilidade RCE (CVE-2022-22965) afeta o JDK 9 ou awesome e possui vários requisitos adicionais para que seja explorado, incluindo que o aplicativo seja executado no Apache Tomcat, disse a Spring em seu postagem do weblog Quinta-feira.

Todas as organizações que usam o widespread framework Java Spring foram instadas a corrigir, independentemente de acreditarem que seus aplicativos sejam vulneráveis.

Vulnerabilidade crítica

Agora, a VMware diz que sua plataforma de aplicativos Tanzu também é afetada pela vulnerabilidade Spring4Shell. A vulnerabilidade recebeu uma classificação de gravidade CVSSv3 de 9,8, tornando-se uma falha “crítica”.

Juntamente com os detalhes sobre as versões afetadas dos produtos Tanzu afetados e sobre os patches, o aviso da VMware inclui hyperlinks para soluções alternativas para o problema do Tanzu Software Provider para VMs e TKGI.

“No momento desta publicação, a VMware revisou seu portfólio de produtos e descobriu que os produtos listados neste comunicado foram afetados”, disse a empresa em seu comunicado. “A VMware continua investigando essa vulnerabilidade e atualizará o aviso caso alguma mudança evolua.”

Embora o Spring4Shell seja considerado uma vulnerabilidade “geral” — com potencial para explorações adicionais — o melhor conselho é que todos os usuários do Spring remendo se possíveldisseram especialistas ao VentureBeat.

No entanto, mesmo com o pior cenário para Spring4Shell, é altamente improvável para se tornar tão grande questão Enquanto o Log4Shell vulnerabilidade, que afetou o tool Apache Log4j amplamente utilizado, disseram especialistas.