VMware 修补了多个产品中的关键身份验证绕过漏洞

admin 2022年5月23日03:10:58安全漏洞评论11 views1107字阅读3分41秒阅读模式

Bleeping Computer 资讯网站披露,VMware 多个产品中出现关键身份验证绕过漏洞,漏洞允许攻击者获取管理员权限。

VMware 修补了多个产品中的关键身份验证绕过漏洞

据悉,该漏洞被追踪为 CVE-2022-22972,最早由 Innotec Security 的 Bruno López 发现并报告,恶意攻击者可以利用该漏洞在不需要身份验证的情况下,获得管理员权限。

漏洞主要影响了 Workspace ONE Access、VMware Identity Manager(vIDM)和 vRealize Automation,目前尚不清楚是否在野被利用。

 敦促管理员立即打补丁 

漏洞披露不久后,VMware 发布公告表示,鉴于该漏洞的严重性,强烈建议用户应立刻采取行动,根据 VMSA-2021-0014 中的指示,迅速修补这一关键漏洞。

VMware 还修补了另外一个严重本地权限升级安全漏洞(CVE-2022-22973),攻击者可以利用该漏洞在未打补丁的设备上,将权限提升到 "root"。

受安全漏洞影响的 VMware 产品列表如下:

VMware Workspace ONE Access (Access)

VMware身份管理器(vIDM)

VMware vRealize Automation (vRA)

VMware云计算基础

vRealize Suite Lifecycle Manager

通常情况下,VMware 会在大多数安全公告中加入关于主动利用的说明,但在新发布的 VMSA-2022-0014 公告中没有包括此类信息,只在其知识库网站上提供了补丁下载链接和安装说明。

 其他临时解决方案 

VMware 还为不能立即给设备打补丁的管理员提供了临时解决方法。具体步骤是,要求管理员禁用除管理员以外的所有用户,并通过 SSH 登录,重新启动 horizon-workspace 服务。临时解决方法虽然方便快捷,但不能彻底消除漏洞,而且还可能带来其他复杂性的安全威胁。

因此 VMware 不建议应用临时方法,想要彻底解决 CVE-2022-22972 漏洞,唯一方法是应用 VMSA-2021-0014 中提供的更新补丁。

值得一提的是,4月份,VMware 还修补了 VMware Workspace ONE Access和VMware Identity Manager 中的一个远程代码执行漏洞(CVE-2022-22954)。

参考文章:

https://www.bleepingcomputer.com/news/security/vmware-patches-critical-auth-bypass-flaw-in-multiple-products/

VMware 修补了多个产品中的关键身份验证绕过漏洞



精彩推荐






VMware 修补了多个产品中的关键身份验证绕过漏洞

VMware 修补了多个产品中的关键身份验证绕过漏洞
VMware 修补了多个产品中的关键身份验证绕过漏洞
VMware 修补了多个产品中的关键身份验证绕过漏洞

原文始发于微信公众号(FreeBuf):VMware 修补了多个产品中的关键身份验证绕过漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月23日03:10:58
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  VMware 修补了多个产品中的关键身份验证绕过漏洞 http://cn-sec.com/archives/1034075.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: