VMWare 认证软件存在SSRF漏洞,可用于访问用户数据

admin 2022年1月19日14:30:50安全漏洞评论39 views1494字阅读4分58秒阅读模式

VMWare 认证软件存在SSRF漏洞,可用于访问用户数据 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士


VMware 认证软件多个版本中存在一个服务器端请求伪造 (SSRF) 漏洞 (CVE-2021-22056),可导致攻击者获得管理员 JSON Web Tokens (JWT)。


该SSRF 漏洞存在于负责向 SaaS、web 和原生移动 app 提供多因素认证、条件访问和单点登录功能的 VMware Workspace ONE Access(此前为 “Identity Manager”)中。

漏洞编号为 CVE-2021-22056,CVSS 评分为5.5,属于“中危”级别,可导致具有网络权限的恶意人员向任意来源提出 HTTP 请求并读取完整响应。一篇博客文章支出,“由于缺少斜杠字符,攻击者可向任意来源提出HTTP请求并读取完整响应。此外,认证标头可遭泄露,因此攻击者可利用该漏洞在管理员查看图像或点击时窃取授权标头。”


完全访问权限
VMWare 认证软件存在SSRF漏洞,可用于访问用户数据


发现该漏洞的研究员 Shubham Shah 和 Keiran Sampson 指出,该漏洞可导致 JWTs 泄露,从而可能导致恶意人员完全访问易受攻击系统。

JWTs 是用于识别用户的URL安全字符串,它们包含JSON编码数据,一边用于嵌入信息。它们常用于 web 应用程序、移动应用程序和 API 服务的会话识别符。同时它们还直接包含用户数据,不同于仅指向服务器端用户数据的传统会话标识符。

如果用户的 JWTs 被盗或受陷,则攻击者可能获得对用户账户的完全访问权限。研究人员指出,JWT 泄露“增加了该问题的严重程度,因为该漏洞可用于对使用 VMWare Workspace One Access 的组织机构发动鱼叉式钓鱼攻击。”

这两名研究员发现了第二个问题即位于 VMware Workspace ONE Access 中的认证绕过漏洞(CVE-2021-22057)。该漏洞影响 VMware Verify 双因素认证机制,被评估为中危级别,CVSS评分为6.6。这说明恶意人员如成功在认证流程中提供了第一个因素如密码,则能够获得 VMware Verify 提供的第二个因素认证。


补丁发布
VMWare 认证软件存在SSRF漏洞,可用于访问用户数据


VMware 已在最新企业软件版本中修复了这两个漏洞。

研究员感谢厂商修复漏洞的“认真“努力。他们还指出,”整体来看,这项研究的其中一个启发是,部署企业软件的组织机构通常缺少或者误解对软件暴露的可见性。很多组织机构以对第三方开发软件暴露的认知和可见性为代价,在自有软件和网络问题中过多投入。经验表明,部署广泛的企业软件中仍将出现常被忽视的重大漏洞。“









推荐阅读

VMware 修复 Workstation、Fusion 和 ESXi中的多个漏洞
CISA 督促VMware 管理员修复Workspace ONE UEM 中的严重漏洞
VMware:警惕 vSphere Web Client中的新漏洞
攻击者利用Python 勒索软件加密 VMware ESXi 服务器
速修复!VMware vCenter Server 所有版本受严重的 RCE 漏洞影响




原文链接

https://portswigger.net/daily-swig/ssrf-vulnerability-in-vmware-authentication-software-could-allow-access-to-user-data


题图:Pixabay License



本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。




VMWare 认证软件存在SSRF漏洞,可用于访问用户数据
VMWare 认证软件存在SSRF漏洞,可用于访问用户数据

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   VMWare 认证软件存在SSRF漏洞,可用于访问用户数据 觉得不错,就点个 “在看” 或 "” 吧~

原文始发于微信公众号(代码卫士):VMWare 认证软件存在SSRF漏洞,可用于访问用户数据

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年1月19日14:30:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  VMWare 认证软件存在SSRF漏洞,可用于访问用户数据 http://cn-sec.com/archives/744788.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: