cohesity/secadvisoryRepository di advisory di sicurezza del fornitore che documenta le vulnerabilità dei prodotti Cohesity, inclusa la falla di validazione del certificato TLS di vCenter CVE-2019-11242, l'impatto e le indicazioni per la remediation.
2 luglio 2019 FN21
Una vulnerabilità man-in-the-middle relativa all'accesso a vCenter è stata rilevata in Cohesity DataPlatform versione 5.x e 6.x precedenti alla 6.1.1c. I cluster Cohesity non verificavano i certificati TLS presentati da vCenter.
Questa vulnerabilità potrebbe esporre le credenziali utente Cohesity configurate per accedere a vCenter. L'esposizione è limitata agli ambienti con solo vCenter che hanno requisiti rigorosi sui certificati TLS.
Per porre rimedio alla vulnerabilità, Cohesity raccomanda l'aggiornamento a Cohesity DataPlatform 6.1.1e o superiore. I clienti attualmente sulla release 6.1.1c o superiore non sono vulnerabili a questo problema e possono ignorare questo avviso.
I download del software sono disponibili qui: http://downloads.cohesity.com In caso di domande, si prega di contattare il supporto Cohesity.
email: [email protected]
Mancata validazione del certificato SSL
Cohesity, Inc
Cohesity DataPlatform - Le versioni interessate sono Cohesity DataPlatform versioni 5.x, 6.x precedenti alla 6.1.1c. Questo è risolto nelle versioni 6.1.1c e 6.2.
Comunicazioni con vCenter.
Remoto
True
Per sfruttare la vulnerabilità, qualcuno deve essere in grado di presentare al cluster Cohesity un certificato TLS vCenter falsificato.
True
Cohesity riconosce gli sforzi del ricercatore del Karlsruhe Institute of Technology Thorsten Tuellmann, che ha identificato la vulnerabilità e ha partecipato alla sua divulgazione responsabile.
