VMware vCenter Orchestrator密码泄露漏洞

漏洞起因
设计错误
危险等级

影响系统
VMware vCenter Orchestrator 4.x

不受影响系统

危害
远程攻击者可以利用漏洞获得密码信息。

攻击所需条件
攻击者必须访问VMware vCenter Orchestrator WEB配置工具。

漏洞信息
VMware vCenter Orchestrator为VMware vCenter任务创建自动化工作流。
VMware vCenter Orchestrator存在安全漏洞,允许恶意用户获得敏感信息。
vCenter Orchestrator Web配置工具存在错误,可被利用泄露vCenter Server密码。
要成功利用漏洞需要拥有对vCenter Orchestrator Web配置工具的管理访问权限。

测试方法

厂商解决方案
VMware vCenter Orchestrator 4.2 Update 1, 4.1 Update 2或4.0 Update 4.已经修复此漏洞,建议用户下载使用:
http://www.vmware.com/

漏洞提供者
Tarjei Mandt