2022年05月20日
Bleeping Computer 資訊網(wǎng)站披露，VMware 多個(gè)產(chǎn)品中出現(xiàn)關(guān)鍵身份驗(yàn)證繞過漏洞，漏洞允許攻擊者獲取管理員權(quán)限。
據(jù)悉，該漏洞被追蹤為 CVE-2022-22972，最早由 Innotec Security 的 Bruno López 發(fā)現(xiàn)并報(bào)告，惡意攻擊者可以利用該漏洞在不需要身份驗(yàn)證的情況下，獲得管理員權(quán)限。
漏洞主要影響了 Workspace ONE Access、VMware Identity Manager(vIDM)和 vRealize Automation，目前尚不清楚是否在野被利用。
敦促管理員立即打補(bǔ)丁
漏洞披露不久后，VMware 發(fā)布公告表示，鑒于該漏洞的嚴(yán)重性，強(qiáng)烈建議用戶應(yīng)立刻采取行動(dòng)，根據(jù) VMSA-2021-0014 中的指示，迅速修補(bǔ)這一關(guān)鍵漏洞。
VMware 還修補(bǔ)了另外一個(gè)嚴(yán)重本地權(quán)限升級(jí)安全漏洞(CVE-2022-22973)，攻擊者可以利用該漏洞在未打補(bǔ)丁的設(shè)備上，將權(quán)限提升到 "root"。
受安全漏洞影響的 VMware 產(chǎn)品列表如下：
VMware Workspace ONE Access (Access)
VMware身份管理器(vIDM)
VMware vRealize Automation (vRA)
VMware云計(jì)算基礎(chǔ)
vRealize Suite Lifecycle Manager
通常情況下，VMware 會(huì)在大多數(shù)安全公告中加入關(guān)于主動(dòng)利用的說明，但在新發(fā)布的 VMSA-2022-0014 公告中沒有包括此類信息，只在其知識(shí)庫網(wǎng)站上提供了補(bǔ)丁下載鏈接和安裝說明。
其他臨時(shí)解決方案
VMware 還為不能立即給設(shè)備打補(bǔ)丁的管理員提供了臨時(shí)解決方法。具體步驟是，要求管理員禁用除管理員以外的所有用戶，并通過 SSH 登錄，重新啟動(dòng) horizon-workspace 服務(wù)。臨時(shí)解決方法雖然方便快捷，但不能徹底消除漏洞，而且還可能帶來其他復(fù)雜性的安全威脅。
因此 VMware 不建議應(yīng)用臨時(shí)方法，想要徹底解決 CVE-2022-22972 漏洞，唯一方法是應(yīng)用 VMSA-2021-0014 中提供的更新補(bǔ)丁。
值得一提的是，4月份，VMware 還修補(bǔ)了 VMware Workspace ONE Access和VMware Identity Manager 中的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2022-22954)。