VMware SDDC Manager : des mesures temporaires selon les versions

Une protection temporaire en attendant les correctifs

Le CERT-FR a publié, le 6 novembre 2026, un avis concernant SDDC Manager, composant de VMware Cloud Foundation. La vulnérabilité peut permettre à un attaquant disposant d’un accès réseau au composant d’exécuter du code arbitraire à distance. Elle touche le décodeur Brotli, un mécanisme de décompression utilisé dans Node.js au sein du produit. Le bulletin Broadcom détaille ce risque.

L’éditeur propose des mesures de contournement. Elles sont temporaires et limitées à cette vulnérabilité : leur application ne doit pas être confondue avec l’installation d’un correctif définitif.

Des procédures différentes selon la version

Les entreprises françaises utilisant SDDC Manager dans les branches 5.2.x, 9.0.x, 9.1.0 et 9.1.1 sont concernées. Broadcom classe le risque comme critique pour 9.1.1, avec un score de 9,8 sur 10 ; les autres branches citées sont classées « Important », avec un score de 7,5. Les versions 5.1.x et antérieures ne sont pas affectées selon les procédures de l’éditeur.

Pour 9.1.1.x, la procédure KB460732 bloque les corps de requêtes déclarant une compression Brotli, à la fois dans nginx et sur le chemin direct vers le serveur d’interface.

Pour 5.2.x, 9.0.x et 9.1.0.x, la procédure KB460734 désactive l’accès au décodeur Brotli concerné par un fichier chargé au démarrage du service d’interface. Elle ne doit pas être appliquée à 9.1.1.x.

Chaque procédure propose un script ou une méthode manuelle. Broadcom demande d’en choisir une seule et d’utiliser la même méthode pour un éventuel retour arrière.

Une alerte d’octobre toujours à traiter

Le bulletin initial date du 27 octobre et sa révision du 28 octobre 2026. L’avis français est daté du 6 novembre. Lors de la consultation du 9 novembre, la matrice Broadcom indique encore des correctifs attendus pour toutes les branches concernées. Le CERT-FR précise que leur date de disponibilité n’est pas indiquée.

Une mise à niveau vers une version conservant le moteur Node.js vulnérable supprime le contournement. Broadcom demande alors de relancer la procédure automatisée en commençant par son contrôle préalable. Une version intégrant le correctif n’a plus besoin de cette mesure temporaire.

Préparer et vérifier l’intervention

• Identifier la version installée et sélectionner la procédure correspondante avant toute modification.
• Sauvegarder l’appliance ou prendre un instantané avant l’intervention ; pour la voie automatisée, vérifier qu’aucune tâche SDDC Manager n’est en cours, notamment une mise à niveau, une opération sur un domaine ou un remplacement de certificat.
• Choisir le script officiel ou la méthode manuelle, sans les cumuler. Avec le script, effectuer le contrôle préalable avant l’application.
• Exécuter les vérifications de la procédure retenue : rejet des requêtes Brotli et maintien des autres traitements pour 9.1.1.x ; chargement du contournement, pages Inventory et Domains et absence d’erreurs de décompression pour les branches antérieures.
• En cas d’échec, suivre le retour arrière adapté et solliciter le support Broadcom, puis suivre la disponibilité du correctif et vérifier la protection après chaque mise à niveau.

Pour ce suivi des protections, VCSTS entretient les protections du périmètre confié : mises à jour des composants couverts et mise à jour de la documentation.