VMware heeft beveiligingsupdates uitgebracht om acht kwetsbaarheden in zijn producten te patchen, waarvan sommige kunnen worden misbruikt om externe code-uitvoeringsaanvallen uit te voeren.
Gevolgd vanaf CVE-2022-22954 tot CVE-2022-22961 (CVSS-scores: 5,3 – 9,8), de problemen hebben gevolgen voor VMware Workspace ONE Access, VMware Identity Manager, VMware vRealize Automation, VMware Cloud Foundation en vRealize Suite Lifecycle Manager.
Vijf van de acht bugs hebben de classificatie Kritiek, twee de classificatie Belangrijk en één de classificatie Matig in ernst. Gecrediteerd met het rapporteren van alle kwetsbaarheden is Steven Seeley van het Qihoo 360 Vulnerability Research Institute.
De lijst met gebreken is hieronder –
- CVE-2022-22954 (CVSS-score: 9,8) – Kwetsbaarheid van de uitvoering van externe code door sjablooninjectie aan de serverzijde die van invloed is op VMware Workspace ONE Access en Identity Manager
- CVE-2022-22955 & CVE-2022-22956 (CVSS-scores: 9,8) – OAuth2 ACS-authenticatie omzeilt kwetsbaarheden in VMware Workspace ONE Access
- CVE-2022-22957 & CVE-2022-22958 (CVSS-scores: 9,1) – Kwetsbaarheden voor uitvoering van externe code door JDBC-injectie in VMware Workspace ONE Access, Identity Manager en vRealize Automation
- CVE-2022-22959 (CVSS-score: 8,8) – Cross-site request forgery (CSRF) kwetsbaarheid in VMware Workspace ONE Access, Identity Manager en vRealize Automation
- CVE-2022-22960 (CVSS-score: 7,8) – Kwetsbaarheid voor lokale escalatie van bevoegdheden in VMware Workspace ONE Access, Identity Manager en vRealize Automation, en
- CVE-2022-22961 (CVSS-score: 5,3) – Kwetsbaarheid van het vrijgeven van informatie die van invloed is op VMware Workspace ONE Access, Identity Manager en vRealize Automation
Succesvolle exploitatie van de bovengenoemde zwakheden zou een kwaadwillende actor in staat kunnen stellen privileges te escaleren naar de rootgebruiker, toegang te krijgen tot de hostnamen van de doelsystemen en op afstand willekeurige code uit te voeren, waardoor een volledige overname mogelijk wordt.
“Deze kritieke kwetsbaarheid moet onmiddellijk worden gepatcht of verholpen”, VMware zei in een waarschuwing. “De gevolgen van deze kwetsbaarheid zijn ernstig.”
Hoewel de virtualisatieserviceprovider opmerkte dat hij geen enkel bewijs heeft gezien dat de kwetsbaarheden in het wild zijn uitgebuit, wordt het ten zeerste aanbevolen om de patches toe te passen om potentiële bedreigingen te verwijderen.
“Hoewel tijdelijke oplossingen handig zijn, verwijderen ze de kwetsbaarheden niet en kunnen ze extra complexiteit introduceren die patchen niet zou doen”, waarschuwde het bedrijf.
