a. VMware ESXi and ESX contain a vulnerability in hostd-vmdb. 

   To exploit this vulnerability, an attacker must intercept and    modify the management traffic. Exploitation of the issue may lead    to a Denial of Service of the hostd-vmdb service.

   To reduce the likelihood of exploitation, vSphere components    should be deployed on an isolated management network.
      VMware would like to thank Alex Chapman of Context Information    Security for reporting this issue to us. 

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the name CVE-2013-5970 to this issue.

b. VMware vSphere Web Client Server Session Fixation Vulnerability       The VMware vSphere Web Client Server contains a vulnerability in    the handling of session IDs. To exploit this vulnerability, an    attacker must know a valid session ID of an authenticated user.    Exploitation of the issue may lead to Elevation of Privilege.

   To reduce the likelihood of exploitation, vSphere components    should be deployed on an isolated management network.

   VMware would like to thank Alexey Tyurin of DSecRG for reporting    this issue to us.

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the name CVE-2013-5971 to this issue.

c. vCenter and Update Manager, Oracle JRE update 1.6.0_51.
      Oracle JRE is updated to version 1.6.0_51, which addresses    multiple security issues that existed in earlier releases of    Oracle JRE. 

   Oracle has documented the CVE identifiers that are addressed    in JRE 1.6.0_51 in the Oracle Java SE Critical Patch Update    Advisory of June 2013. The References section provides a    link to this advisory.

The version of VMware vCenter installed on the remote host is 5.0 prior to update 3 or 5.1 prior to update 2.  It is, therefore, potentially affected by the following vulnerabilities :

  - A vulnerability exists in the handling of session IDs,     which could lead to an escalation of privileges.
    (CVE-2013-5971)

  - Multiple vulnerabilities exists in the bundled version     of the Java Runtime Environment.

リモートホストにインストールされている VMware vCenter のバージョンは、5.0 の Update 3 より前または 5.1 の Update 2 より前です。このため、以下の脆弱性の影響を受ける可能性があります。

  - セッション ID の処理に脆弱性があることにより、権限が昇格されることがあります。
    （CVE-2013-5971）

  - バンドルされているバージョンの Java Runtime Environment に、複数の脆弱性があります。

a. VMware ESXi および ESX には、hostd-vmdb の脆弱性があります。

この脆弱性を悪用するには、攻撃者は、管理トラフィック傍受し、改ざんする必要があります。問題を悪用することで、hostd-vmdb サービスのサービス拒否を引き起こす可能性があります。

類似の悪用を削減するために、vSphere コンポーネントは孤立した管理ネットワークに展開するべきです。
 VMware は Context Information Security の Alex Chapman 氏がこの問題を報告していることに感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2013-5970 の識別名を割り当てています。

b. VMware vSphere Web Client Server Session Fixation の脆弱性 VMware vSphere Web Client Server には、セッション ID の処理の脆弱性があります。この脆弱性を悪用するには、攻撃者は、認証されたユーザーの有効なセッション ID を把握する必要があります。問題を悪用することで、権限昇格を引き起こす可能性があります。

類似の悪用を削減するために、vSphere コンポーネントは孤立した管理ネットワークに展開するべきです。

VMware は、この問題を当社に報告してくれた DSecRG の Alexey Tyurin 氏に感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2013-5971 の識別名を割り当てています。

c. vCenter および Update Manager、Oracle JRE update 1.6.0_51。
 Oracle JRE は、Oracle JRE の以前のリリースに存在していた複数のセキュリティの問題に対処している、バージョン 1.6.0_51 に更新されます。

Oracle は、JRE 1.6.0_51 で対処されている CVE 識別子を、2013 年 6 月の Oracle Java SE Critical Patch Update アドバイザリで文書化しています。「参照」セクションに、このアドバイザリへのリンクが提供されています。

a. VMware ESXi 和 ESX 在 hostd-vmdb 中包含一个漏洞。

要利用此漏洞，攻击者必须拦截并修改管理流量。利用此问题可能导致 hostd-vmdb 服务的拒绝服务。

为降低被利用的可能性，vSphere 组件应部署在隔离的管理网络中。
 VMware 在此感谢 Context Information Security 的 Alex Chapman 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2013-5970。

b. VMware vSphere Web Client Server 会话固定漏洞 VMware vSphere Web Client Server 在会话 ID 的处理中包含一个漏洞。要利用此漏洞，攻击者必须知道经过认证的用户的有效会话 ID。利用此问题可能导致权限提升。

为降低被利用的可能性，vSphere 组件应部署在隔离的管理网络中。

VMware 在此感谢 DSecRG 的 Alexey Tyurin 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2013-5971。

c. vCenter 和 Update Manager，Oracle JRE Update 1.6.0_51。
 Oracle JRE 更新到版本 1.6.0_51，解决了较早的 Oracle JRE 版本中存在的多种安全问题。

Oracle 在 2013 年 6 月的 Oracle Java SE 关键修补程序更新公告中记载了 JRE 1.6.0_51 中已解决的 CVE 标识符。“参考”部分提供了此公告的链接。

a. VMware ESXi 和 ESX 的 hostd-vmdb 中有一個弱點。

若要惡意利用此弱點，攻擊者必須攔截並修改管理流量。惡意利用此問題可能導致 hostd-vmdb 服務發生拒絕服務。

為降低遭到惡意利用的可能性，應將 vSphere 元件部署在隔離的管理網路中。
 VMware 要感謝 Context Information Security 的 Alex Chapman 向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2013-5970 指派給此問題。

b. VMware vSphere Web 用戶端伺服器工作階段固定弱點。VMware vSphere Web 用戶端伺服器處理工作階段 ID 時有一個弱點。若要惡意利用此弱點，攻擊者必須知道經驗證之使用者的有效工作階段 ID。惡意利用此問題可能導致權限提升。

為降低遭到惡意利用的可能性，應將 vSphere 元件部署在隔離的管理網路中。

VMware 要感謝 DSecRG 的 Alexey Tyurin 向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2013-5971 指派給此問題。

c. vCenter 和 Update Manager、Oracle JRE update 1.6.0_51。
 Oracle JRE 已更新至 1.6.0_51 版，其可解決舊版 Oracle JRE 中存在的多個安全性問題。

Oracle 已在 2013 年 6 月 Oracle Java SE 重要修補程式更新公告中記錄 JRE 1.6.0_51 已解決的 CVE 識別碼。「參照」一節提供了此公告的連結。

安装在远程主机上的 VMware vCenter 版本为未应用 update 3 的 5.0，或未应用 update 2 的 5.1。因此，它可能会受到以下漏洞的影响：

- 在处理会话 ID 时存在漏洞，可能导致权限升级。
 (CVE-2013-5971)

- 在 Java Runtime Environment 的捆绑版本中存在多种漏洞。

遠端主機上安裝的 VMware vCenter 版本是 update 3 之前的 5.0 或 update 2 之前的 5.1。因此可能受到以下弱點影響：

- 工作階段 ID 的處理中存有弱點，可導致權限提升。
 (CVE-2013-5971)

- 隨附的 Java Runtime Environment 版本中存在多個弱點。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
70527	VMSA-2013-0012 : VMware vSphere updates address multiple vulnerabilities	Nessus	VMware ESX Local Security Checks	2013/10/20	2021/1/6	high
70612	VMware Security Updates for vCenter Server (VMSA-2013-0012)	Nessus	Misc.	2013/10/25	2022/3/29	critical
70612	vCenter サーバー向けの VMware のセキュリティ更新（VMSA-2013-0012）	Nessus	Misc.	2013/10/25	2022/3/29	critical
70527	VMSA-2013-0012：VMware vSphere の更新は、複数の脆弱性に対処します	Nessus	VMware ESX Local Security Checks	2013/10/20	2021/1/6	high
70527	VMSA-2013-0012：VMware vSphere 更新解决多种漏洞	Nessus	VMware ESX Local Security Checks	2013/10/20	2021/1/6	high
70527	VMSA-2013-0012：VMware vSphere 更新位址多個弱點	Nessus	VMware ESX Local Security Checks	2013/10/20	2021/1/6	high
70612	适用于 vCenter Server 的 VMware 安全更新 (VMSA-2013-0012)	Nessus	Misc.	2013/10/25	2022/3/29	critical
70612	適用 vCenter Server 的 VMware 安全性更新 (VMSA-2013-0012)	Nessus	Misc.	2013/10/25	2022/3/29	critical

检测

插件搜索

high

critical

critical

high

high

high

critical

critical