El proveedor de servicios de virtualización VMware envió el martes actualizaciones a abordar 10 fallas de seguridad afectando múltiples productos que podrían ser abusados por atacantes no autenticados para realizar acciones maliciosas.
Los problemas rastreados desde CVE-2022-31656 hasta CVE-2022-31665 (puntajes CVSS: 4.7 – 9.8) afectan a VMware Workspace ONE Access, Workspace ONE Access Connector, Identity Manager, Identity Manager Connector, vRealize Automation, Cloud Foundation y vRealize Administrador del ciclo de vida de la suite.
La más grave de las fallas es CVE-2022-31656 (puntaje CVSS: 9.8), una vulnerabilidad de omisión de autenticación que afecta a los usuarios del dominio local y que podría ser aprovechada por un malhechor con acceso a la red para obtener acceso administrativo.
VMware también resolvió tres vulnerabilidades de ejecución remota de código (CVE-2022-31658, CVE-2022-31659 y CVE-2022-31665) relacionadas con la inyección de SQL y JDBC que un adversario con acceso de administrador y de red podría utilizar como arma.
En otro lugar, también ha corregido una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada (CVE-2022-31663) que, según dijo, es el resultado de una desinfección inadecuada del usuario, lo que podría conducir a la activación de código JavaScript malicioso.
Para redondear los parches, hay tres errores de escalada de privilegios locales (CVE-2022-31660, CVE-2022-31661 y CVE-2022-31664) que permiten a un actor con acceso local escalar privilegios a «raíz», una vulnerabilidad de inyección de URL ( CVE-2022-31657) y un error de recorrido de ruta (CVE-2022-31662).
Si bien la explotación exitosa de CVE-2022-31657 hace posible redirigir a un usuario autenticado a un dominio arbitrario, CVE-2022-31662 podría equipar a un atacante para leer archivos de manera no autorizada.
VMware dijo que no está al tanto de la explotación de estas vulnerabilidades en la naturaleza, pero instó a los clientes que usan los productos vulnerables a aplicar los parches inmediatamente para mitigar las amenazas potenciales.