BDU:2022-03061

Опубликовано: 18 мая 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость пользовательского интерфейса платформы администрирования приложений VMware Workspace One Access, консоли администрирования VMware Identity Manager (vIDM) и средства управления виртуальной инфраструктурой VMware vRealize Automation связана с возможностью обхода аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

VMware Inc.

Наименование ПО

Workspace One Access

Identity Manager

vRealize Automation

VMware Cloud Foundation

vRealize Suite Lifecycle Manager

Версия ПО

до KB88438 (Workspace One Access)

до KB88438 (Identity Manager)

от 7.6 до KB88438 (vRealize Automation)

до KB88438 (VMware Cloud Foundation)

до KB88438 (vRealize Suite Lifecycle Manager)

Тип ПО

Прикладное ПО информационных систем

ПО виртуализации/ПО виртуального программно-аппаратного средства

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры.

1. Конфигурирование программного обеспечения:

- запустить View-Active-Admin-users.sql для отображения всех администраторов (включая администраторов только для чтения) и запустить View-Active-Local-users.sql для отображения всех локальных пользователей, которые будут отключены. Убедиться, что View-Active-Admin-users.sql показывает, как минимум 1 подготовленного (обычно из каталога) администратора;

- запустить Disable_All_Local_users.sql для отключения всех локальных пользователей и администраторов;

- запустить View-Active-Admin-users.sql, для отображения администраторов, которые остаются активными. Должны отображаться только подготовленные (обычно пользователи каталога) администраторы userType;

- войти в устройство Workspace ONE Access/VMware Identity Manager, используя sshclient, в качестве пользователя root. Перезапустить службу с помощью команды «service Horizon-Workspace Restart». Повторить этот процесс для всех устройств;

- до установки обновления запретить создание новых локальных пользователей.

2. Ограничение использования программного обеспечения.

Информация от разработчика:

https://www.vmware.com/security/advisories/VMSA-2022-0014.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.vmware.com/security/advisories/VMSA-2022-0014.html

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%

0.93758

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-22972

CVSS3: 9.8

nvd

больше 3 лет назад

VMware Workspace ONE Access, Identity Manager and vRealize Automation contain an authentication bypass vulnerability affecting local domain users. A malicious actor with network access to the UI may be able to obtain administrative access without the need to authenticate.

GHSA-ffjg-mw44-7fw8

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 100%

0.93758

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2