【漏洞预警】VMware vCenter Server 信息泄露漏洞 （CVE-2022-22948）

 01

漏洞描述

VMwarevCenter Server 是一款高级服务器管理软件，提供了一个集中式平台来控制vSphere 环境，以实现跨混合云的可见性。来自 VMware 合作伙伴的 vSphere Client Plug-in 使 IT 管理员可以直接从 vCenter Server 管理他们数据中心内的第三方元素。我们的服务器管理软件具有行业内最大的合作伙伴生态系统，以及开源 vSphere Client Plug-in SDK。这使得 vCenterServer 客户可以直接通过 vCenter Server 执行备份、数据保护、服务器管理、网络管理和安全管理。
近期，VMware vCenter Server被公布出存在信息泄露漏洞（CVE-2022-22948）。VMware 已评估此漏洞的严重性在中等严重性范围内，CVSSv3 基本得分最高为5.5。根据漏洞详情，攻击者虽然不具有管理访问权限，但可利用文件权限限制不当的问题，从而导致获取对敏感信息的访问权限。

 02

漏洞危害

针对企业，如果企业内部重要数据比如客户资料或企业机密文件等信息泄露的话，可能会影响企业的发展、动摇企业的根基，很有可能会退出市场。针对个人，如果用户信息通过VMware vCenter Server 信息泄露漏洞，可能会使公民的个人信息被泄露，进而收到恶意的垃圾短信、骚扰电话，甚至可以溯源出用户完整信息，利用用户信息进行违法犯罪活动。

 03

影响范围

vCenter Server < 7.0 U3d

vCenter Server < 6.7 U3d

vCenter Server < 6.5 U3r

vCenter Server < 3.11

vCenter Server < 4.x

04

漏洞等级

   

   中危

 05

修复方案

官方已发布更新修复，参考链接如下:
https://www.vmware.com/security/advisories/VMSA-2022-0009.html

END

长按识别二维码，了解更多

原文始发于微信公众号（易东安全研究院）：【漏洞预警】VMware vCenter Server 信息泄露漏洞 （CVE-2022-22948）