Broadcom corrige des failles critiques au sein d'Aria de VMware!!

Bonjour à tous,

Aujourd'hui, on se retrouve pour parler de l'annonce réalisée par Broadcom dans le but d'appliquer des patchs venant combler différentes vulnérabilités au sein de ses outils de gestion du cloud Aria de VMware.

Dans un bulletin publié la semaine dernière, Broadcom a indiqué que deux des cinq vulnérabilités récemment dévoilés par des rapports privés affectant ses composants VMware Aria Operations et Aria Operations for Logs. De plus, Cloud Foundation (VCF) servant à déployer et gérer des infrastructures cloud hybrides est impacté en raison de son haut niveau d'intégration entre VCF et Aria afin d'assurer des fonctionnalités de gestion et d'exploitation des infrastructures cloud.

Parmi les CVE identifiés, nous avons la CVE-2025-22218 sur VMware Aria Operations for Logs (axée sur la collection de journaux, analyse en temps réel, le débogage et la détection d'événements de sécurité) avec un score CVSS de 8,5/10 (très élevé) permet d'orchestrer un vol d'informations sensibles avec un faible niveau de privilège. Il suffit à l'acteur malveillant d'avoir des droits d'administrateur en lecture seule pour avoir la capacité de lire les informations de connexion d'un produit VMware intégré avec la solution Aria Operations for Logs. 
Vient ensuite la CVE-2025-22222 disposant d'un score de 7,7/10, s'exécutant également avec un niveau de privilège faible et affectant VMware Aria Operations (outil responsable de la surveillance des infrastructure, gestion des performances, planification de la capacité, de l'automatisation et gestion des coûts). Elle permet à un acteur disposant de privilèges non administratifs d'obtenir des informations de connexion d'un plugin externe valide lorsqu'un identifiant de créneau de service valide est connu.
Au niveau des versions, les failles affectent les 8.X de VMware Aria Operations for Logs, Aria Operations et 5.x et 4.x du VCF. 
Concernant la remédiation, il est important de passer Aria Operations sur la v8.18.3 et Aria Operations for Logs sur la v8.18.3. Il est conseiller d'appliquer le patch KB92148 pour les environnements affectés par VCF.

De plus, VMware Aria Operations est affectée par la CVE-2025-22219 avec un score CVSS 6,8/10 sur une vulnérabilité de script croisé ainsi que la CVE-2025-22220 avec un score CVSS 4,3/10 sur une vulnérabilité d'échelle de privilèges.
VMware Aria Operations for Logs est sensible à la CVE-2025-22221 avec un score CVSS 5,2/10 permettant à des acteurs disposant de privilèges d'administrateur d'exécuter des scripts malveillants sur le navigateur de la cible. 
Pour la remédiation, elle est la même que pour les deux CVEs au-dessus puisqu'elles affectent les mêmes versions indiquées.