Vulnérabilités critiques dans VMware
Date de publication :
Plusieurs vulnérabilités critiques ont été découvertes dans les logiciels : VMware Workspace ONE Access, Identity Manager et vRealize Automation.
L’injection de modèles côté serveur est une utilisation non sécurisée de templates potentiellement compromis, destinés à l'affichage de données dynamiques dans une page HTML.
Une URI JDBC est une connexion URL conçue pour initialiser la connexion à une base de données.
CVE-2022-22954[Score CVSS v3.1 : 9.8]
Un défaut de sécurisation de l’injection de modèles côté serveur dans les suites VMware Workspace ONE Access et Identity Manager permet à un attaquant d’exécuter du code arbitraire à distance.
CVE-2022-22955[Score CVSS v3.1 : 9.8]
L’exposition des points de terminaison dans le framework OAuth2 ACS de la suite VMware Workspace ONE Access permet à un attaquant de contourner l’étape d’authentification.
CVE-2022-22956[Score CVSS v3.1 : 9.8]
L’exposition des points de terminaison dans le framework OAuth2 ACS de la suite VMware Workspace ONE Access permet à un attaquant de contourner l’étape d’authentification.
CVE-2022-22957[Score CVSS v3.1 : 7.2]
Une erreur de désérialisation de données non approuvées dans VMware Workspace ONE Access, Identity Manager et vRealize Automation permet à un attaquant disposant de droits administrateur d’envoyer une requête forgée de type URI JDBC, afin d’exécuter du code à distance.
CVE-2022-22958[Score CVSS v3.1 : 7.2]
Une erreur de désérialisation de données non approuvées dans VMware Workspace ONE Access, Identity Manager et vRealize Automation permet à un attaquant disposant de droits administrateur d’envoyer une requête forgée de type URI JDBC, afin d’exécuter du code à distance.
CVE-2022-22959[Score CVSS v3.1 : 4.3]
Un contrôle insuffisant des requêtes entrantes fournies par l’utilisateur permet à un attaquant distant, par le biais d’une requête forgée de type URI JDBC, d’effectuer des attaques de script intersite (XSS).
CVE-2022-22960[Score CVSS v3.1 : 7.8]
Une erreur d’autorisation dans les scripts de support de VMware Workspace ONE Access, Identity Manager et vRealize Automation permet à un attaquant authentifié d’élever ses privilèges.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Élévation de privilèges
- Exécution de code arbitraire (à distance)
- Contournement de la politique de sécurité (à distance)
- Injection de code indirecte (à distance) (XSS)
Criticité
- Score CVSS v3.1: 9.8 max
La faille est activement exploitée
- Oui, pour la CVE-2022-22960 et la CVE-2022-22954
Un correctif existe
- Oui pour l’ensemble des vulnérabilités
Une mesure de contournement existe
- Oui pour l’ensemble des vulnérabilités
Les vulnérabilités exploitées sont du type
Pour la CVE-2022-22954
Pour les CVE-2022-22955 et CVE-2022-22956
Pour les CVE-2022-22957 et CVE-2022-22958
Pour la CVE-2022-22959
Pour la CVE-2022-22960
Détails sur l’exploitation
Pour les CVE-2022-22954, CVE-2022-22955 et CVE-2022-22956
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Aucun.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Pour les CVE-2022-22957 et CVE-2022-22958
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : authentification compte administrateur.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Pour la CVE-2022-22959
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Aucun.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Pour la CVE-2022-22960
- Vecteur d’attaque : Local.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Composants vulnérables
- VMware Workspace ONE Access (Access) en versions 20.10.0.1 et 20.10.0.0
- VMware Identity Manager (vIDM) en version 7.6
- VMware vRealize Automation (vRA) en version 7.6
- VMware Cloud Foundation en versions 3.x, 4.x et 8.x
- vRealize Suite Lifecycle Manage en version 8.x