BDU:2022-02031

Опубликовано: 06 апр. 2022

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость платформы администрирования приложений VMware Workspace ONE Access, платформы виртуализации VMware Cloud Foundation, средства управления виртуальной инфраструктурой VMware vRealize Automation, программного средства управления жизненным циклом приложений vRealize Suite Lifecycle Manager и консоли администрирования VMware Identity Manager (vIDM) связана с недостаточной проверкой источника HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить CSRF-атаки с помощью специально созданной веб-страницы

Вендор

VMware Inc.

Наименование ПО

vRealize Automation

Workspace One Access

Identity Manager

vRealize Suite Lifecycle Manager

VMware Cloud Foundation

Версия ПО

7.6 (vRealize Automation)

20.10.0.1 (Workspace One Access)

21.08.0.1 (Workspace One Access)

21.08.0.0 (Workspace One Access)

20.10.0.0 (Workspace One Access)

от 3.3.3 до 3.3.6 включительно (Identity Manager)

до KB88099 (vRealize Suite Lifecycle Manager)

до KB88099 (VMware Cloud Foundation)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.vmware.com/security/advisories/VMSA-2022-0011.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 52%

0.00292

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-22959

CVSS3: 4.3

nvd

почти 4 года назад

VMware Workspace ONE Access, Identity Manager and vRealize Automation contain a cross site request forgery vulnerability. A malicious actor can trick a user through a cross site request forgery to unintentionally validate a malicious JDBC URI.

GHSA-mchf-99pv-x6wc