A Broadcom lançou atualizações de segurança para corrigir cinco falhas de segurança que afetam o VMware Aria Operations e o Aria Operations for Logs, alertando os clientes de que os invasores poderiam explorá-las para obter acesso elevado ou obter informações sensíveis.
A lista de falhas identificadas, que afetam as versões 8.x do software, está abaixo:
-
CVE-2025-22218
(pontuação CVSS: 8.5) - Um ator malicioso com permissões de Admin Somente Visualização pode ser capaz de ler as credenciais de um produto VMware integrado ao VMware Aria Operations for Logs
-
CVE-2025-22219
(pontuação CVSS: 6.8) - Um ator malicioso com privilégios não administrativos pode ser capaz de injetar um script malicioso que pode levar a operações arbitrárias como usuário admin através de um ataque de cross-site scripting (XSS) armazenado
-
CVE-2025-22220
(pontuação CVSS: 4.3) - Um ator malicioso com privilégios não administrativos e acesso à rede para a API de Aria Operations for Logs pode ser capaz de realizar certas operações no contexto de um usuário admin
-
CVE-2025-22221
(pontuação CVSS: 5.2) - Um ator malicioso com privilégios de admin para o VMware Aria Operations for Logs pode ser capaz de injetar um script malicioso que poderia ser executado no navegador de uma vítima ao realizar uma ação de exclusão na Configuração do Agente
-
CVE-2025-22222
(pontuação CVSS: 7.7) - Um usuário malicioso com privilégios não administrativos pode explorar essa vulnerabilidade para recuperar credenciais para um plugin externo se um ID de credencial de serviço válido for conhecido
Pesquisadores de segurança, Maxime Escourbiac do Michelin CERT, e Yassine Bengana e Quentin Ebel da Abicom e parte da equipe do Michelin CERT, detectaram e relataram as falhas.
Vale ressaltar que a mesma equipe identificou outras duas deficiências no mesmo produto (
CVE-2024-38832
e
CVE-2024-38833
) no final de novembro de 2024.
Todas as vulnerabilidades mencionadas foram corrigidas na versão 8.18.3 do VMware Aria Operations e Aria Operations for Logs.
O provedor de serviços de virtualização não menciona a exploração desses problemas na prática.
O aviso vem dias após a Broadcom alertar sobre uma falha de segurança de alta severidade no VMware Avi Load Balancer (
CVE-2025-22217
, pontuação CVSS: 8.6) que poderia ser armada por atores maliciosos para obter acesso ao banco de dados.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...