cohesity/secadvisoryAnbieter-Sicherheitshinweis-Repository, das Schwachstellen in Cohesity-Produkten dokumentiert, einschließlich der CVE-2019-11242 vCenter-TLS-Zertifikatsvalidierungsschwachstelle, Auswirkungen und Behebungsempfehlungen.
In Cohesity DataPlatform Version 5.x und 6.x vor 6.1.1c wurde eine Man-in-the-middle-Schwachstelle im Zusammenhang mit dem vCenter-Zugriff gefunden. Cohesity-Cluster überprüften die von vCenter präsentierten TLS-Zertifikate nicht.
Diese Schwachstelle könnte Cohesity-Benutzeranmeldedaten offenlegen, die für den Zugriff auf vCenter konfiguriert sind. Die Offenlegung ist auf vCenter-Umgebungen beschränkt, die strenge TLS-Zertifikatanforderungen haben.
Zur Behebung der Schwachstelle empfiehlt Cohesity ein Upgrade auf Cohesity DataPlatform 6.1.1e oder höher. Kunden, die derzeit Release 6.1.1c oder höher verwenden, sind von diesem Problem nicht betroffen und können diesen Hinweis ignorieren.
Software-Downloads sind hier verfügbar: http://downloads.cohesity.com Bei Fragen wenden Sie sich bitte an den Cohesity-Support.
E-Mail: [email protected]
Fehlende SSL-Zertifikatvalidierung
Cohesity, Inc
Cohesity DataPlatform – Betroffene Versionen sind Cohesity DataPlatform Versionen 5.x, 6.x vor 6.1.1c. Dies ist in den Versionen 6.1.1c und 6.2 behoben.
vCenter-Kommunikation.
Remote
True
Um die Schwachstelle auszunutzen, muss jemand in der Lage sein, dem Cohesity-Cluster ein gefälschtes vCenter-TLS-Zertifikat zu präsentieren.
True
Cohesity würdigt die Bemühungen des Forschers Thorsten Tuellmann vom Karlsruher Institut für Technologie, der die Schwachstelle identifiziert und an deren verantwortungsvoller Offenlegung mitgewirkt hat.
