SecAdvisory

2019年7月2日 FN21

与 vCenter 相关的中间人漏洞 [CVE-2019-11242]

问题描述

在 Cohesity DataPlatform 5.x 和 6.x 版本（6.1.1c 之前）中发现了一个与 vCenter 访问相关的中间人漏洞。Cohesity 集群未验证 vCenter 提供的 TLS 证书。

影响

此漏洞可能泄露配置用于访问 vCenter 的 Cohesity 用户凭据。影响范围仅限于具有严格 TLS 证书要求的 vCenter 环境。

解决方案

为修复该漏洞，Cohesity 建议升级至 Cohesity DataPlatform 6.1.1e 或更高版本。 当前使用 6.1.1c 或更高版本的客户不受此问题影响，可忽略此通知。

附加信息：

软件下载地址：http://downloads.cohesity.com 如有任何疑问，请联系 Cohesity 支持团队。

邮箱：[email protected]

漏洞类型

缺少 SSL 证书验证

产品供应商

Cohesity, Inc

受影响产品代码库

Cohesity DataPlatform - 受影响版本为 Cohesity DataPlatform 5.x、6.x（6.1.1c 之前）。此问题已在 6.1.1c 和 6.2 版本中修复。

受影响组件

vCenter 通信。

攻击类型

远程

影响信息泄露

True

攻击向量

要利用此漏洞，攻击者必须能够向 Cohesity 集群提供伪造的 vCenter TLS 证书。

供应商是否确认或承认该漏洞？

True

发现者

Cohesity 感谢卡尔斯鲁厄理工学院研究员 Thorsten Tuellmann 的努力，他发现了该漏洞并参与了负责任的披露。