建站
咨詢
售后
建站咨詢
新聞中心
Bleeping Computer 網(wǎng)站披露，VMware 近期發(fā)布了安全更新，以解決 Workspace ONE Assist 解決方案中的三個(gè)嚴(yán)重漏洞，分別追蹤為 CVE-2022-31685（認(rèn)證繞過）、CVE-2022-31686 （認(rèn)證方法失?。┖?CVE-2022-31687 （認(rèn)證控制失?。?jù)悉，這些漏洞允許遠(yuǎn)程攻擊者繞過身份驗(yàn)證并提升管理員權(quán)限。
成都創(chuàng)新互聯(lián)成立于2013年，先為同江等服務(wù)建站，同江等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為同江企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。
Workspace ONE Assist 可以提供遠(yuǎn)程控制、屏幕共享、文件系統(tǒng)管理和遠(yuǎn)程命令執(zhí)行，以幫助服務(wù)后臺(tái)和 IT 人員從 Workspace ONE 控制臺(tái)實(shí)時(shí)遠(yuǎn)程訪問設(shè)備并排除故障。
未經(jīng)身份認(rèn)證的威脅攻擊者可以在不需要用戶交互進(jìn)行權(quán)限升級的低復(fù)雜度攻擊中利用這些漏洞。從 VMware 發(fā)布的聲明來看，一旦具有 Workspace ONE Assist 網(wǎng)絡(luò)訪問權(quán)限的惡意攻擊者成功利用這些漏洞，無需對應(yīng)用程序進(jìn)行身份驗(yàn)證就可以獲得管理訪問權(quán)限。
漏洞現(xiàn)已修復(fù)
目前，VMware為Windows 已經(jīng)為客戶發(fā)布了 Workspace ONE Assist 22.10（89993），對這些漏洞進(jìn)行了修補(bǔ)。
此外，VMware 還修補(bǔ)了一個(gè)反射式跨站腳本（XSS）漏洞（CVE-2022-31688）以及一個(gè)會(huì)話固定漏洞（CVE-2022-31689），前者允許攻擊者在目標(biāo)用戶的窗口中注入 javascript 代碼，，后者允許攻擊者獲得有效會(huì)話令牌后進(jìn)行身份驗(yàn)證。
值得一提的是，Workspace ONE Assist 22.10 版本修補(bǔ)的所有漏洞都是由 REQON IT-Security的Jasper Westerman、Jan van der Put、Yanick de Pater 和 Harm Blankers 發(fā)現(xiàn)并報(bào)告給 VMware 的。
VMware 修復(fù)了多個(gè)安全漏洞
今年 8 月，VMware 警告管理員要修補(bǔ) VMware Workspace ONE Access、Identity Manager 和 vRealize Automation 中另外一個(gè)關(guān)鍵身份認(rèn)證繞過安全漏洞，該漏洞允許未經(jīng)認(rèn)證的攻擊者獲得管理權(quán)限。
同年 5 月，Mware 修補(bǔ)了一個(gè)幾乎相同的關(guān)鍵漏洞，該漏洞是 Innotec Security的Bruno López 在 Workspace ONE Access、VMware Identity Manager（vIDM）和vRealize Automation 中發(fā)現(xiàn)的另一個(gè)身份驗(yàn)證繞過漏洞（CVE-222-22972）。
參考文章：https://www.bleepingcomputer.com/news/security/vmware-fixes-three-critical-auth-bypass-bugs-in-remote-access-tool/
當(dāng)前標(biāo)題：VMware修復(fù)了三個(gè)身份認(rèn)證繞過漏洞
分享地址：http://www.5511xx.com/article/dhjsgdh.html
