VMware, ürünlerine yayılan ve bazıları uzaktan kod yürütme saldırıları başlatmak için kullanılabilecek sekiz güvenlik açığını yamalamak için güvenlik güncellemeleri yayınladı.
Şuradan izlendi: CVE-2022-22954 ila CVE-2022-22961 (CVSS puanları: 5,3 – 9,8), sorunlar VMware Workspace ONE Access, VMware Identity Manager, VMware vRealize Automation, VMware Cloud Foundation ve vRealize Suite Lifecycle Manager’ı etkiler.
Sekiz hatadan beşi Kritik, ikisi Önemli ve biri Orta derecede önem derecesine sahiptir. Tüm güvenlik açıklarını bildiren kişi, Qihoo 360 Güvenlik Açığı Araştırma Enstitüsü’nden Steven Seeley’dir.
Kusurların listesi aşağıdadır –
- CVE-2022-22954 (CVSS puanı: 9.8) – VMware Workspace ONE Access and Identity Manager’ı etkileyen sunucu tarafı şablon yerleştirme uzaktan kod yürütme güvenlik açığı
- CVE-2022-22955 ve CVE-2022-22956 (CVSS puanları: 9.8) – OAuth2 ACS kimlik doğrulaması, VMware Workspace ONE Access’teki güvenlik açıklarını atlıyor
- CVE-2022-22957 ve CVE-2022-22958 (CVSS puanları: 9.1) – VMware Workspace ONE Access, Identity Manager ve vRealize Automation’da JDBC enjeksiyon uzaktan kod yürütme güvenlik açıkları
- CVE-2022-22959 (CVSS puanı: 8.8) – VMware Workspace ONE Access, Identity Manager ve vRealize Automation’da siteler arası istek sahteciliği (CSRF) güvenlik açığı
- CVE-2022-22960 (CVSS puanı: 7.8) – VMware Workspace ONE Access, Identity Manager ve vRealize Automation’da yerel ayrıcalık yükseltme güvenlik açığı ve
- CVE-2022-22961 (CVSS puanı: 5.3) – VMware Workspace ONE Access, Identity Manager ve vRealize Automation’ı etkileyen bilgilerin açığa çıkması güvenlik açığı
Yukarıda bahsedilen zayıflıklardan başarılı bir şekilde yararlanılması, kötü niyetli bir aktörün ayrıcalıkları kök kullanıcıya yükseltmesine, hedef sistemlerin ana bilgisayar adlarına erişim kazanmasına ve uzaktan keyfi kod yürütmesine izin vererek etkin bir şekilde tam devralmaya izin verebilir.
VMware, “Bu kritik güvenlik açığı derhal yamalanmalı veya hafifletilmelidir” dedim bir uyarıda. “Bu güvenlik açığının sonuçları ciddi.”
Sanallaştırma hizmetleri sağlayıcısı, güvenlik açıklarından vahşi ortamda yararlanıldığına dair herhangi bir kanıt görmediğini belirtse de, olası tehditleri ortadan kaldırmak için yamaları uygulamanız önemle tavsiye edilir.
Şirket, “Geçici çözümler uygun olsa da güvenlik açıklarını ortadan kaldırmaz ve yamanın kaldırmayacağı ek karmaşıklıklar getirebilir” diye uyardı.