E安全6月4日讯，近日据外媒报道，入侵测试公司Citadelo发布了一份安全报告，该报告详细描述了VMware这个漏洞，追踪到的编号为CVE-2020-3956。据悉，该漏洞是于今年4月在对财富500强企业客户和VMware Cloud Director用户进行安全审计时首次被发现的。

　　根据了解，VMware Cloud Director前身被称为vCloud Director，是一个云服务交付平台，用于虚拟数据中心管理、数据中心扩展、云迁移以及托管自动化工具。目前，该软件被全球的云服务供应商和企业使用。

　　此次漏洞的严重性CVSSV3评分为8.8, VMware认为该漏洞重要级别高级别，漏洞原因是由于未对系统输入正确的处理造成的。根据Citadelo的说法，虽然利用这个漏洞可能会导致代码执行错误，并且黑客能够利用漏洞从技术上控制分配，但是由于攻击者必须在某种程度上进行身份验证，因此这个漏洞的范围较小。

　　同时，在分析漏洞时，CItadelo表示他们能够查看到VMware内部系统数据库，获取系统的存储密码散列、以及读取包括电子邮件和IP地址在内的客户数据。

　　此外，VMware还表示，经过认证的攻击者可能会向VMware Cloud Director发送恶意流量，从而执行任意远程代码。同时，这个漏洞可以通过HTML5和基于flex的ui、API Explorer接口和API访问来利用，黑客可以对数据库进行部分修改，以篡改虚拟机、以及篡改登录设置以窃取凭证。

　　对于此次漏洞，VMware感谢Citadelo研究团队报告了此漏洞。同时，Citadelo网络安全公司也表示VMware正在努力迅速修复此漏洞。

　　责任编辑:张华