在 2024 年 9 月发布的初始补丁未能完全解决该问题后，VMware 针对其 vCenter Server 中的关键远程代码执行（RCE）漏洞 CVE-2024-38812 发布了新的安全更新。CVSS v3.1 的得分为 9.8，该漏洞尤其令人担忧，因为它可以通过 DCE/RPC 协议实现中的堆溢出弱点进行利用，而无需用户交互。
该漏洞由 TZL 安全研究人员在中国 2024 年矩阵杯黑客竞赛期间发现，允许在收到特制网络数据包时远程执行代码。研究人员还发现了另一个漏洞 CVE-2024-38813，这是一个影响 VMware vCenter 的高严重性权限提升漏洞。
VMware 现已发布适用于 vCenter 版本 7.0.3、8.0.2 和 8.0.3 的新修补程序，建议客户立即应用这些更新，因为没有可用的解决方法。尽管 vSphere 6.5 和 6.7 等旧版本也会受到影响，但它们不会收到更新，因为它们已超过支持终止日期。
到目前为止，VMware 尚未观察到任何对这些漏洞的利用。有关更多详细信息，用户可以参考 VMware 发布的更新安全公告和随附的 Q&A。来源