a. WebWorks Help - 跨站脚本漏洞

WebWorks Help 是一个输出格式，可允许在多个平台和浏览器上提供在线帮助，这使得发布信息到 Web 上或企业 Intranet 上变得很简单。
 WebWorks Help 用于创建可在 VMware WebAccess、Lab Manager 和 Stage Manager 中使用的在线帮助页面。

WebWorks Help 未充分审查传入请求，这可导致使用 WebWorks Help 构建的应用程序中出现跨站脚本漏洞。

若要利用 VMware 产品中的这些漏洞，需要诱骗用户在使用 WebAccess 登录 vCenter、ESX 或 VMware Server 时，或登录 Stage Manager 或 Lab Manager 时，点击恶意链接或打开恶意网页。

成功利用会导致用户凭据遭窃。只有在攻击者拥有服务控制台网络的访问权限时，才能远程利用这些漏洞。

VMware 提供的安全最佳实践建议将服务控制台与 VM 网络隔离。请参阅 http://www.vmware.com/resources/techresources/726 了解关于 VMware 安全最佳实践的更多信息。

当前浏览器随附的客户端保护措施不一定能防止这些攻击的执行。

VMware 在此感谢 stratsec (www.stratsec.net) 的 Daniel Grzelak 和 Alex Kouzemtchenko 发现并报告此问题。
 VMware 在此感谢 WebWorks.com 的 Ben Allums 与我们一起努力修复此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2009-3731。

检测

VMSA-2009-0017：VMware vCenter、ESX 修补程序和 vCenter Lab Manager 版本解决了 XSS 问题

medium Nessus 插件 ID 52012

未找到变更日志