De quoi il s’agit

VMware Tanzu Spring Cloud ist eine Plattform zur Bereitstellung und Verwaltung von Spring-Anwendungen in Cloud-Umgebungen unter Verwendung von Microservices-Architekturen. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Cloud Gateway Server und Sleuth ausnutzen, um einen Denial of Service Angriff durchzuführen oder um Daten zu manipulieren.

Dans quelles conditions ?

Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• einen Denial of Service Angriff durchzuführen oder um Daten zu manipulieren

Suis-je concerné ?

Concernés selon le BSI :

• VMware Tanzu Spring Cloud Sleuth <3.1.14
• VMware Tanzu Spring Cloud Gateway Server <3.1.13
• VMware Tanzu Spring Cloud Gateway Server <4.2.9
• VMware Tanzu Spring Cloud Gateway Server <4.3.4.1
• VMware Tanzu Spring Cloud Gateway Server <4.3.5
• VMware Tanzu Spring Cloud Gateway Server <5.0.1.1
• VMware Tanzu Spring Cloud Gateway Server <5.0.2

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• VMware Tanzu Spring Cloud Sleuth 3.1.14
• VMware Tanzu Spring Cloud Gateway Server 3.1.13
• VMware Tanzu Spring Cloud Gateway Server 4.2.9
• VMware Tanzu Spring Cloud Gateway Server 4.3.4.1
• VMware Tanzu Spring Cloud Gateway Server 4.3.5
• VMware Tanzu Spring Cloud Gateway Server 5.0.1.1
• VMware Tanzu Spring Cloud Gateway Server 5.0.2

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.