一、漏洞概述
近日，绿盟科技CERT监测发现VMware官方修复了一个App Control注入漏洞（CVE-2023-20858）。由于产品对用户输入的内容验证存在缺陷，拥有App Control管理控制台权限的攻击者通过输入特制数据，从而访问底层服务器操作系统，最终实现在目标系统上任意执行代码。CVSS评分为9.1，请受影响的用户尽快采取措施进行防护。
VMware Carbon Black App Control 是一款应用允许列表解决方案，旨在使安全运维团队能够锁定新系统和旧版系统，防止发生不必要的更改，简化合规性流程并为企业系统提供保护。
参考链接：
https://www.vmware.com/security/advisories/VMSA-2023-0004.html
二、影响范围
受影响版本
- 9.0 <= VMware Carbon Black App Control < 8.9.4
- 8.0 <= VMware Carbon Black App Control < 8.8.6
- 7.0 <= VMware Carbon Black App Control < 8.7.8
不受影响版本
- VMware Carbon Black App Control >= 8.9.4
- VMware Carbon Black App Control >= 8.8.6
- VMware Carbon Black App Control >= 8.7.8
三、漏洞防护
- 官方升级
目前官方已针对漏洞发布了补丁，请受影响的用户尽快下载补丁进行防护，对应产品版本的修复补丁及文档如下：
| 产品版本 | 下载链接 | 操作文档 |
| App Control 8.9.x | https://docs.vmware.com/en/VMware-Carbon-Black-App-Control/services/cb-ac-announcements/GUID-7464A525-BCF4-4329-9228-B040C9C16D22.html | |
| App Control 8.8.x | https://docs.vmware.com/en/VMware-Carbon-Black-App-Control/services/cb-ac-announcements/GUID-35DA49E4-41F3-485B-88E5-AE69B354F2FB.html | |
| App Control 8.7.x | ||
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。