Компоненты VMware Tanzu содержат уязвимости в платформенных сервисах и stemcells

Несколько уязвимостей в продуктах VMware затрагивают компоненты Tanzu Platform, сборки приложений и stemcells, то есть базовые образы виртуальных машин. В сводке издатель не раскрывает, что именно позволяет каждая ошибка, и говорит о неспецифицированной проблеме безопасности. Затронуты API Gateway, Platform Services, Tanzu Hub, сборки Ruby и Staticfile и stemcells для Ubuntu и Windows. Вендор выпустил исправления в новых версиях продуктов.

Состав уведомлений и затронутые компоненты

В бюллетенях безопасности VMware от 21 октября 2026 года перечислены исправления по компонентам. Механика каждой ошибки в открытом описании не раскрыта. По шкале CVSS, которая оценивает серьёзность уязвимостей, часть выпусков имеет 10 из 10. Оценка относится к самому серьёзному случаю в выпуске, а не ко всем ошибкам списка. Для других выпусков указаны высокий и средний уровни. В ряде бюллетеней атака идёт по сети, учётные данные и участие пользователя не требуются.

Для части stemcells указан локальный доступ, в отдельных случаях с низкими привилегиями. Сведений об эксплуатации в реальных атаках нет. Публикация бюллетеней означает раскрытие сведений о выпусках с исправлениями, а не подтверждение атак. Статус уведомлений - "закрыто". Списки продуктов не помечены как промежуточные.

В перечень входят API Gateway для Tanzu Platform, Platform Services, Service Publisher, Tanzu Hub, Tanzu GemFire, Tanzu for Postgres и TKGI Management Console. Отдельно указаны Ruby Buildpack и Staticfile Buildpack. Для stemcells перечислены варианты Ubuntu Jammy, Ubuntu Jammy Azure Light, Ubuntu Jammy FIPS, Ubuntu Resolute и Windows. Разные компоненты обновляются отдельно, поэтому версия платформы не заменяет версию сборки или stemcell. Проверять нужно и сетевые сервисы, и образы, на которых запускаются рабочие нагрузки.

Исправления вышли в API Gateway 2.4.10, Platform Services 10.4.6 и 11.0.0, Service Publisher 10.4.6. Tanzu Hub получил версии 10.4.6 и 11.0.0. Tanzu GemFire и Tanzu for Postgres обновлены до 11.0.0. TKGI Management Console, консоль управления Tanzu Kubernetes Grid Integrated Edition, обновлена до 1.26.3. Ruby Buildpack получил версии 1.10.93 и 1.10.95, Staticfile Buildpack - версию 1.6.103. Для каждого компонента в бюллетене приведён свой набор исправленных версий.

Для stemcells указаны ветки Ubuntu Jammy, включая Azure Light, 1.9019.x, 1.9034.x и 1.9041.x. Ветки FIPS, то есть варианты с криптографическим модулем по стандарту FIPS, имеют те же номера. Ubuntu Resolute обновлена до 1.0.x, Windows - до 2019.104.x и 2022.8.x. Номер ветки stemcell не равен версии платформы. Если в инфраструктуре используется одна из этих веток, нужно перейти на названный выпуск. Вендор не приводит обходных мер.

Администраторам нужно проверить наличие перечисленных компонентов и обновить их до указанных выпусков. Отдельной проверки требуют сборки Ruby и Staticfile и stemcells старых веток. После обновления нужно отслеживать новые бюллетени VMware по этим продуктам. Проверку ведут по компонентам, а не по общему номеру платформы. Уязвимости затрагивают платформенные сервисы и базовые образы виртуальных машин, поэтому обновление планируют по всем затронутым веткам.

Состав уведомлений и затронутые компоненты

Ссылки