VMware越界读写漏洞安全通告
发布时间 2019-08-06• 漏洞编号和级别
CVE编号：CVE-2019-5684，危险级别：高危，CVSS分值：厂商自评：8.5，官方未评定
• 影响版本
• 漏洞概述
VMware ESXi等都是美国威睿（VMware）公司的产品。VMware ESXi是一套可直接安装在物理服务器上的服务器虚拟化平台。VMware Workstation是一套虚拟机软件。VMware Workstation Player是一套免费开源的且功能较简单的虚拟机软件。VMware Fusion是一套专用于在苹果机（Mac）上运行Windows应用程序的的虚拟机软件。NVIDIA graphics driver等都是美国英伟达（NVIDIA）公司的产品。NVIDIA graphics driver是一款图形驱动器。
Vmware ESXi、Workstation和Fusion中存在如下漏洞。利用这些漏洞需要攻击者访问启用了3D图形的虚拟机。默认情况下，它不在ESXi上启用，默认情况下在Workstation和Fusion上启用。
成功利用越界读取问题可能会导致信息泄露，或者可能允许具有正常用户权限的攻击者在主机上创建拒绝服务条件。
仅当主机具有受影响的NVIDIA图形驱动程序时，才能利用越界写入问题。成功利用此问题可能会导致主机上的代码执行。
• 漏洞验证
暂无POC/EXP。
• 修复建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://www.vmware.com/security/advisories/VMSA-2019-0012.html。
也可以通过安装更新的NVIDIA图形驱动程序来修复CVE-2019-5684：https://nvidia.custhelp.com/app/answers/detail/a_id/4841。
• 参考链接
京公网安备11010802024551号