东方时讯网虚拟化巨头VMware发布了针对其vRealizeLogInsight产品中四个漏洞的补丁，其中两个漏洞的严重性等级为“严重”。
关键对是CVE-2022-31703和CVE-2022-31704。前者是目录遍历漏洞，后者是破坏访问控制漏洞。两者都获得了9.8的严重性评分，并且都允许威胁行为者访问本应无法访问的资源。
VMware解释说：“未经身份验证的恶意行为者可以将文件注入受影响设备的操作系统，从而导致远程代码执行。”
TechRadarPro需要你!我们希望为我们的读者建立一个更好的网站，我们需要您的帮助!您可以通过填写我们的调查并告诉我们您对2023年科技行业的看法和观点来尽一份力。只需几分钟，您的所有回答都将是匿名和保密的。再次感谢您帮助我们使TechRadarPro变得更好。
D.Athow，总编辑
敏感数据处于危险之中
另外两个漏洞是CVE-2022-31710和CVE-2022-31711。前者是一个反序列化漏洞，允许威胁行为者篡改数据并发起拒绝服务攻击。它的严重性评分为7.5。后者是一个得分为5.3的信息泄露漏洞，可用于窃取敏感数据。
为防止漏洞，建议用户立即应用补丁，并带上他们的端点(在新标签页中打开)到版本8.10.2。那些现在无法应用补丁的人也可以应用解决方法，可以在此处找到相关说明(在新标签页中打开).
该出版物证实，这些缺陷最初是由零日计划发现的。该计划的成员表示，到目前为止，没有证据表明这些漏洞在野外被滥用。
趋势科技ZDI的威胁意识负责人DustinChilds告诉TheRegister说：“我们不知道有任何公开的漏洞利用代码或使用此漏洞的主动攻击。”“虽然我们目前没有针对这个漏洞发布概念证明的计划，但我们对VMware和其他虚拟化技术的研究仍在继续。”
vRealizeLogInsight是一种日志管理工具。虽然它不像VMware的其他一些解决方案那样受欢迎，但该公司在公共和私营部门的存在很可能使其所有产品成为寻找漏洞的网络犯罪分子的有吸引力的目标。