The version of VMware vCenter Server Appliance installed on the remote host is 5.1 prior to Update 3. It is, therefore, affected by an unspecified cross-site scripting vulnerability. A remote attacker can exploit this by means of a specially crafted URL or malicious web page, which can result in the execution of arbitrary script code.

a. VMware vCSA cross-site scripting vulnerability

   VMware vCenter Server Appliance (vCSA) contains a vulnerability    that may allow for Cross Site Scripting. Exploitation of this    vulnerability in vCenter Server requires tricking a user to click    on a malicious link or to open a malicious web page. 

   VMware would like to thank Tanya Secker of Trustwave SpiderLabs for    reporting this issue to us. 

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the name CVE-2014-3797 to this issue. 

b. vCenter Server certificate validation issue

   vCenter Server does not properly validate the presented certificate    when establishing a connection to a CIM Server residing on an ESXi    host. This may allow for a Man-in-the-middle attack against the CIM    service.

   VMware would like to thank The Google Security Team for reporting    this issue to us.

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the identifier CVE-2014-8371 to this issue. 

  c. Update to ESXi libxml2 package

  libxml2 is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2013-2877 and   CVE-2014-0191 to these issues. 

  d. Update to ESXi Curl package

  Curl is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2014-0015 and   CVE-2014-0138 to these issues. 

  e. Update to ESXi Python package

  Python is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2013-1752 and   CVE-2013-4238 to these issues. 

  f. vCenter and Update Manager, Oracle JRE 1.6 Update 81

  Oracle has documented the CVE identifiers that are addressed in   JRE 1.6.0 update 81 in the Oracle Java SE Critical Patch Update   Advisory of July 2014. The References section provides a link to   this advisory.

リモートホストにインストールされている VMware vCenter Server Appliance のバージョンは、Update 3 より前の バージョン 5.1 です。このため、特定されていないクロスサイトスクリプティング脆弱性の影響を受けます。リモートの攻撃者が、特別に細工された URL、または悪意のある Web ページを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。

遠端主機上安裝的 VMware vCenter Server Appliance 版本是 Update 3 之前的 5.1。因此，其會受到不明跨網站指令碼弱點影響。遠端攻擊者可藉由特製的 URL 或惡意網頁來惡意利用此弱點，進而導致執行任意指令碼。

a. VMware vCSA 跨站脚本漏洞

VMware vCenter Server Appliance (vCSA) 包含可能允许跨站脚本的漏洞。利用 vCenter Server 中的此漏洞需要诱骗用户点击恶意链接或打开恶意网页。

VMware 在此感谢 Trustwave SpiderLabs 的 Tanya Secker 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-3797。

b. vCenter Server 证书验证问题

vCenter Server 在与 ESXi 主机上驻留的 CIM Server 建立连接时未正确验证所提供的证书。这可允许针对 CIM 服务的中间人攻击。

VMware 在此感谢 Google 安全团队向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配标识符 CVE-2014-8371。

c. ESXi libxml2 程序包的更新

libxml2 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-2877 和 CVE-2014-0191。

d. ESXi Curl 程序包的更新

Curl 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2014-0015 和 CVE-2014-0138。

e. ESXi Python 程序包的更新

Python 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-1752 和 CVE-2013-4238。

f. vCenter 和 Update Manager，Oracle JRE 1.6 Update 81

Oracle 在 2014 年 7 月的 Oracle Java SE 关键修补程序更新公告中记载了 JRE 1.6.0 update 81 中已解决的 CVE 标识符。“参考”部分提供了此公告的链接。

a. VMware vCSA のクロスサイトスクリプティングの脆弱性

VMware vCenter Server Appliance（vCSA）に脆弱性があり、クロスサイトスクリプティングが引き起こされる可能性があります。vCenter Server でこの脆弱性を悪用するには、ユーザーを騙して、悪意のあるリンクをクリックさせるか、悪意のある Web ページを開かせる必要があります。

VMware は、この問題を報告してくれた Trustwave SpiderLabs の Tanya Secker 氏に感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2014-3797 の識別名を割り当てています。

b. vCenter Server の証明書検証の問題

vCenter Server は、ESXi ホストにある CIM Server への接続を確立するときに、提示される証明書を適切に処理しません。これにより、CIM サービスに対して中間者攻撃が行われる可能性があります。

VMware は、この問題を弊社に報告してくれた Google セキュリティチームに感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、この問題に識別子 CVE-2014-8371 が割り当てられています。

c. ESXi libxml2 パッケージへ更新してください

複数のセキュリティ問題に対処するために、libxml2 が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2013-2877 と CVE-2014-0191 を割り当てました。

d. ESXi Curl パッケージへ更新してください

複数のセキュリティ問題に対処するために、Curl が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2014-0015 と CVE-2014-0138 を割り当てました。

e. ESXi Python パッケージへ更新してください。

複数のセキュリティ問題に対処するために、Python が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2013-1752 と CVE-2013-4238 を割り当てました。

f. vCenter および Update Manager、Oracle JRE 1.6 Update 81

Oracle は、2014 年 7 月の Oracle Java SE 重要度最高パッチ更新アドバイザリの JRE 1.6.0 Update 81 で対処されている CVE 識別子について文書化しました。「参照」セクションに、このアドバイザリへのリンクが提供されています。

a. VMware vCSA 跨網站指令碼弱點

VMware vCenter Server Appliance (vCSA) 中包含一個可允許跨網站指令碼的弱點。在 vCenter Server 中惡意利用此弱點需要誘騙使用者按一下惡意連結或開啟惡意網頁。

VMware 要感謝 Trustwave SpiderLabs 的 Tanya Secker 向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2014-3797 指派給此問題。

b. vCenter Server 憑證驗證問題

當建立與 ESXi 主機上的 CIM Server 之間的連線時，vCenter Server 未正確驗證呈現的憑證。這可允許對 CIM 服務發動攔截式攻擊。

VMware 要感謝 Google 安全性團隊向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將識別碼 CVE-2014-8371 指派給此問題。

c. ESXi libxml2 套件的更新

libxml2 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2013-2877 及 CVE-2014-0191。

d. ESXi Curl 套件的更新

Curl 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2014-0015 及 CVE-2014-0138。

e. ESXi Python 套件的更新

Python 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2013-1752 及 CVE-2013-4238。

f. vCenter 和 Update Manager、Oracle JRE 1.6 Update 81

Oracle 在 2014 年 7 月 Oracle Java SE 重要修補程式更新公告中記錄已在 JRE 1.6.0 Update 81 中解決的 CVE 識別碼。「參照」一節提供了此公告的連結。

远程主机上安装的 VMware vCenter Server Appliance 为低于 Update 3 的 5.1。因此，它受到不明跨站脚本漏洞的影响。远程攻击者可通过特别构建的 URL 或恶意网页利用此漏洞，从而导致执行任意脚本代码。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79863	VMware vCenter Server Appliance Unspecified XSS (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2019/9/26	medium
79762	VMSA-2014-0012 : VMware vSphere product updates address security vulnerabilities	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79863	VMware vCenter Server Appliance　詳細不明の XSS（VMSA-2014-0012）	Nessus	Misc.	2014/12/12	2019/9/26	medium
79863	VMware vCenter Server Appliance 不明 XSS (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2019/9/26	medium
79762	VMSA-2014-0012：VMware vSphere 产品更新解决了安全漏洞	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79762	VMSA-2014-0012：VMware vSphere 製品の更新で、セキュリティの脆弱性が対処されています	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79762	VMSA-2014-0012：VMware vSphere 產品更新可解決安全性弱點	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79863	VMware vCenter Server Appliance 不明 XSS (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2019/9/26	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium