【漏洞通告】VMware未授权访问漏洞(CVE-2021-22002)

0x00 漏洞概述

CVE   ID	CVE-2021-22002	时    间	2021-08-05
类    型	未授权访问	等    级	高危
远程利用	是	影响范围
攻击复杂度	低	可用性	低
用户交互	无	所需权限	无
PoC/EXP	未公开	在野利用	否

 

0x01 漏洞详情

2021年8月5日，VMware发布安全更新，修复了其多个产品中的2个安全漏洞（CVE-2021-22002和CVE-2021-22003），这些漏洞影响了VMware Workspace OneAccess (Access)、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA)、VMwareCloud Foundation和vRealize Suite Lifecycle Manager产品。详情如下：

VMware未授权访问漏洞(CVE-2021-22002)

VMwareWorkspace One Access 和 Identity Manager中存在未授权访问漏洞，能够网络访问443端口的恶意攻击者可以通过篡改主机头来访问8443端口上的/cfg web应用程序和诊断端点（未经身份验证），该漏洞的CVSSv3评分为8.6（高危）。

 

VMware信息泄露漏洞(CVE-2021-22003)

由于VMware Workspace One Access 和 IdentityManager意外在7443端口提供了一个登录界面，能够网络访问7443端口的恶意攻击者可能会尝试通过用户枚举或对登录端点进行暴力破解攻击。但由于策略配置和密码复杂性，该漏洞不太可能被利用，其CVSSv3评分为3.7（低危）。

 

0x02 处置建议

目前这些漏洞已经修复。建议参考下表及时升级更新：

产品	影响版本	CVE-ID	补丁
Access	20.10.01	CVE-2021-22002, CVE-2021-22003	https://kb.vmware.com/s/article/85254
	20.10
vIDM	3.3.5	CVE-2021-22002, CVE-2021-22003
	3.3.4
	3.3.3
	3.3.2
vRealize Automation	8.x	CVE-2021-22002, CVE-2021-22003	不受影响
vRealize Automation (vIDM)	7.6	CVE-2021-22002	补丁计划： https://kb.vmware.com/s/article/85255
vRealize Automation (vIDM)	7.6	CVE-2021-22003	不受影响
VMware Cloud Foundation (vIDM)	4.x	CVE-2021-22002, CVE-2021-22003	https://kb.vmware.com/s/article/85254
	8.x

 

下载链接：

https://www.vmware.com/security/advisories/VMSA-2021-0016.html

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0016.html

https://kb.vmware.com/s/article/85254

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22002

 

0x04 更新版本

版本	日期	修改内容
V1.0	2021-08-06	首次发布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

 

0x06 关于我们

关注以下公众号，获取更多资讯：        

本文始发于微信公众号（维他命安全）：【漏洞通告】VMware未授权访问漏洞(CVE-2021-22002)