近日，VMware修复了昆仑实验室在2021 年中国天府杯黑客大赛期间展示的几个高危漏洞。这些漏洞影响 VMware ESXi、Workstation 和 Fusion。
详细名单
CVE-2021-22040–VMware ESXi、Workstation 和 Fusion 在 XHCI USB 控制器中包含一个释放后使用漏洞。在虚拟机上具有本地管理权限的恶意行为者可能会利用此问题将代码作为在主机上运行的虚拟机的 VMX 进程执行。
CVE-2021-22041–VMware ESXi、Workstation 和 Fusion 在 UHCI USB 控制器中包含一个双重获取漏洞。在虚拟机上具有本地管理权限的恶意行为者可能会利用此问题将代码作为在主机上运行的虚拟机的 VMX 进程执行。
CVE-2021-22042 – VMware ESXi 包含一个未经授权的访问漏洞，因为 VMX 可以访问 settingsd 授权票证。仅在 VMX 进程中具有特权的恶意行为者可能能够访问作为高特权用户运行的 settingsd 服务。
CVE-2021-22043 – VMware ESXi 包含一个 TOCTOU（Time-of-check Time-of-use）漏洞，该漏洞存在于处理临时文件的方式中。有权访问 settingsd 的恶意行为者可能会利用此问题通过写入任意文件来提升其权限。
VMware 还报告说，发现漏洞的白帽黑客首先根据当地法律向中国政府报告了这些漏洞，该法律命令发现零日漏洞的研究人员与政府当局分享他们的发现。
“这些问题是作为 VMware 参与的中国安全赛事天府杯的一部分被发现的。这些漏洞是由发现它们的研究人员根据他们的法律向中国政府报告的，”VMware 透露。
注：本文由E安全编译报道。
关键词：
