CISA flags VMware Aria Operations RCE flaw as exploited in attacks
Mis à jour :
Alerte sur une faille critique dans VMware Aria Operations
Une vulnérabilité critique dans VMware Aria Operations, identifiée sous la référence CVE-2026-22719, a été ajoutée au catalogue des vulnérabilités exploitées connues par la CISA (Cybersecurity and Infrastructure Security Agency). Cette faille permettrait à un acteur malveillant non authentifié d’exécuter des commandes arbitraires sur les systèmes vulnérables, potentiellement aboutissant à une exécution de code à distance.
Broadcom, l’entreprise derrière VMware Aria Operations, a confirmé avoir reçu des rapports indiquant une exploitation de cette vulnérabilité, bien qu’elle ne puisse pas confirmer indépendamment ces allégations. Les détails techniques précis sur la manière dont la faille est exploitée n’ont pas encore été divulgués publiquement.
Points clés :
- Produit concerné : VMware Aria Operations (plateforme de surveillance d’entreprise).
- Nature de la faille : Injection de commande permettant l’exécution de code à distance.
- Statut : Ajoutée au catalogue des vulnérabilités exploitées connues par la CISA.
- Impact potentiel : Exécution de commandes arbitraires et potentielle exécution de code à distance par un attaquant non authentifié.
Vulnérabilités :
- CVE-2026-22719 : Vulnérabilité d’injection de commande avec un score CVSS de 8.1, classée comme “Important”.
Recommandations :
- Application des correctifs : Les organisations sont fortement encouragées à appliquer les correctifs de sécurité disponibles publiés par VMware.
- Mise en œuvre des contournements : Pour celles qui ne peuvent pas appliquer les correctifs immédiatement, un contournement temporaire a été fourni sous la forme d’un script nommé “aria-ops-rce-workaround.sh”. Ce script doit être exécuté en tant que root sur chaque nœud de l’appliance Aria Operations pour désactiver les composants susceptibles d’être exploités pendant le processus de migration assistée.
- Exigence pour les agences fédérales : La CISA exige que les agences civiles fédérales américaines traitent cette vulnérabilité avant le 24 mars 2026.