Múltiples vulnerabilidades en productos VMware

Fecha de publicación: 07/04/2022

Importancia:
Crítica

Recursos afectados:

• VMware Workspace ONE Access (Access), versiones:
  • 21.08.0.1;
  • 21.08.0.0;
  • 20.10.0.1;
  • 20.10.0.0.
• VMware Identity Manager (vIDM), versiones:
  • 3.3.6;
  • 3.3.5;
  • 3.3.4;
  • 3.3.3.
• VMware vRealize Automation (vRA), versión 7.6.
• VMware Cloud Foundation, versiones;
  • 4.x;
  • 3.x.
• vRealize Suite Lifecycle Manager, versiones 8.x.
• Horizon Client para Linux, versiones 21.x.

Descripción:

Los investigadores Steven Seeley (mr_me), del Qihoo 360 Vulnerability Research Institute, y Jack Luketina han reportado 10 vulnerabilidades: 5 de severidad crítica, 4 altas y 1 moderada. La explotación de estas vulnerabilidades podría permitir a un atacante ejecutar código remoto, omitir la autenticación, CSRF (Cross-Site Request Forgery), escalar privilegios locales y divulgar información.

Solución:

• En Horizon Client para Linux, actualizar a la versión 2203.
• Para el resto de productos afectados, aplicar las instrucciones de parcheado recogidas en KB88099.

Detalle:

Las vulnerabilidades críticas se describen a continuación:

• Un atacante con acceso a la red podría realizar una inyección en la plantilla del lado del servidor (server-side template injection), lo que podría dar lugar a la ejecución remota de código (RCE). Se ha asignado el identificador CVE-2022-22954 para esta vulnerabilidad.
• Un atacante podría eludir el mecanismo de autenticación y ejecutar cualquier operación, gracias a los endpoints expuestos en el framework de autenticación OAuth2 ACS. Se han asignado los identificadores CVE-2022-22955 y CVE-2022-22956 para estas vulnerabilidades.
• Un atacante con acceso administrativo podría provocar la deserialización de datos no confiables a través de una URI JDBC maliciosa, lo que podría resultar en la ejecución remota de código. Se han asignado los identificadores CVE-2022-22957 y CVE-2022-22958 para estas vulnerabilidades.

Para el resto de vulnerabilidades altas y medias se han asignado los identificadores CVE-2022-22959, CVE-2022-22960, CVE-2022-22961, CVE-2022-22962 y CVE-2022-22964.

Etiquetas:
Actualización, Linux, Virtualización, VMware, Vulnerabilidad