VMware-Tools 12.3.5 fixt Schwachstellen; Bugs ermöglichen Rechteausweitung

7 Kommentare zu VMware-Tools 12.3.5 fixt Schwachstellen; Bugs ermöglichen Rechteausweitung

1. Norddeutsch sagt:

   28. Oktober 2023 um 10:44 Uhr

   Hier Summary der VMware Release Notes:

   – resolves CVE-2023-34057 and CVE-2023-34058
   – resolves CVE-2023-34059 (Linux, open-vm-tools file descriptor hijack)
   – Updated OpenSSL version to 3.0.10.
   – Updated glibmm version to 2.70.0
   – Updated libsigc++ version to 3.0.6

   Hier das Security Announce der gefixten Probleme.
   Hat Fixen und Bug-Fixing mit Drogensucht zu tun?

   Antworten
2. ralf sagt:

   30. Oktober 2023 um 22:39 Uhr

   Welche VMware ESXi Version muss man installiert haben, um die VMware Tools 12.3.5 via ESXi auszurollen? Auf den Host ist 7.0.3, 22348816 (ESXi 7.0 Update 3o) kann man keine VMware Tools mit 12.3.5 ausrollen. Es wird nur die Version VMware Tools 12.2.6 verteilt.

   Antworten
   • Christopher sagt:

     31. Oktober 2023 um 08:15 Uhr

     Wahrscheinlich ESXi 9.0Ü30 ;-)

     Ich lade schon seit längerem die Tools manuell, habe aber auch nicht viele Server, die es betrifft. Die mitgelieferten Tools hinken den veröffentlichten Versionen weit hinterher.

     .oO(Habe ich nicht gerade am Wochenende auf 12.3.0 aktualisiert?!?). Wird echt Zeit für ein Autoupdate der Tools.

     Antworten
   • Norddeutsch sagt:

     1. November 2023 um 15:09 Uhr

     Wenn "wahrscheinlich" ein unguter Ratgeber ist – VMware hat da Listen.
     @ralf – guckst oder bookmarkst Du bitte hier:

     hxxps://packages.vmware.com/tools/versions

     Dies ist das permanent geupdatete "VMware version-mapping file"
     – aktualisiert bei neuen Releases
     – aktualisiert auch bei Neuentwicklungen ohne Release, also "vorab"
     – ohne Schnicki und Cookie, pure basic TEXT

     Antworten
3. ralf sagt:

   1. November 2023 um 20:11 Uhr

   Danke für den Link @norddeutsch, der nützt mir aber nicht, der letzte eintrag sieht nämlich so aus:

   12358 esx/7.0p08 22348816 12.2.6 22229486

   Antworten
   • Norddeutsch sagt:

     1. November 2023 um 21:22 Uhr

     @ralf – yes and no , nach Info-File ist der "letzte" Eintrag "12389 esx/0.0 …"

     Laut Info im File offiziell noch nicht gebundled:
     Column 2: ESXi server version.'esx/0.0' indicates that the tools version
     # is not yet bundled with ESXi.
     # Column 3: ESXi server build number

     Oder:
     Dein 12.2.6 ist "das letzte offiziell gebundelte"… ob es ESX-intern dazu eine "Freigabe-Liste" zB bei Update gibt weiss ich leider nicht (die könnt man overrulen). Ebenso hat damit Christopher recht ("…mitgelieferte Tools hinken …hinterher. ")
     Deine Frage von oben "Welche VMware ESXi Version muss man…haben" lautet daher wohl unzufriedenstellend und nach Aussage VMware "esx/0.0".
     Das sollte uns aber nicht absolut hindern, ich würd es manuell zB per Script ausrollen …

     Antworten
4. Norddeutsch sagt:

   1. November 2023 um 23:15 Uhr

   vielleicht auch interessant : Die o.g. Info-Datei stellt indirekt die Link-Information für einen möglichen Download her. So bietet die zweite Inhalts-Zeile bspw.: " 12358 esx/7.0p08 22348816 …". In Spalte 2 steht laut VMware die Version "esx/7.0p08"– dies ist jedoch auch der Teil einer URL und lässt sich einfach auf Shell mit grep oder awk etc parsen:

   hxxps://packages.vmware.com/tools/ {+} esx/7.0p08 {ergibt:}
   hxxps://packages.vmware.com/tools/esx/7.0p08

   Wenn mutmaßend zB ESX-intern dieser Pfad für einen "Update-Check" nach Server-Build-Number genutzt würde – so kann ein möglicher Automatismus bei ralf nur 12.2.6 anzeigen (die Zeile mit 12.3.5 ist ja noch keiner Build-Nr zugeordnet).

   Wenn dem weiterdenkend so ist – man könnt auf der Test-ESX nach einem oder diesem "versions"-File suchen:
   a) Wählt neuere "Wunsch-Version" auf hxxps://packages.vmware.com/tools/esx/
   b) Editiert das lokale Versions-File mit Eurem Build und resultierendem Pfad
   … und guckt mal was passiert – hab grad keine ESX unterm Hintern.

   Antworten