VMworld 2008 : Une faille critique de VMware s'en prend au système hôte

Alors que VMworld ouvre ses portes à Cannes, Core Security Technology vient de dévoiler une faille dans les versions pour poste clients des outils de virtualisation de VMware : Player, WorkStation et ACE.

Cette faille permettrait à un individu connecté sur l'environnement invité de prendre la main sur l'environnement hôte de la machine. La défaillance se situe dans le système de partage de fichiers et ne concerne ni les versions clientes pour Mac et Linux, ni les versions sur Windows pour serveurs. Une faille qu'a confirmée l'éditeur en précisant : « Sur les hôtes Windows, si vous avez configuré un dossier de partage de l'hôte-vers-l'invité, il est possible qu'un programme installé sur l'invité puisse accéder à l'ensemble du système de fichiers présent sur l'hôte et créer ou modifier des fichiers exécutables en des lieux stratégiques. »

Pour l'instant la société n'a pas encore sorti de correctif pour cette faille. Il faudra attendre la mise à jour de routine pour ces produits. Elle conseille, en attendant, de désactiver les dossiers partagés, une fonction désactivée par défaut dans ses nouvelles versions. En mars 2007, une faille similaire avait déjà été découverte par Verisign, il avait fallu attendre un mois avant que VMware ne propose une rustine.