Beveiligingsadvies: VMware-kwetsbaarheden geven systeemcontrole aan hackers

19 mei 2022 | Adviserend, Blog

CyberHoot Vulnerability Alert Management Process-beoordeling (VAMP): kritiek/rood 19 mei 2022: CyberHoot heeft kennisgenomen van een aantal kwetsbaarheden in de software van VMware die zijn bijgehouden als CVE-2022-22954 (Basisscore: 9.8/10) en CVE-2022-22960 (Basisscore: 7.8/10) en worden actief uitgebuit door hackers. Deze kwetsbaarheden treffen bepaalde versies van VMware Workspace ONE Access, VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation en vRealize Suite Lifecycle Manager. Door misbruik te maken van deze kwetsbaarheden kunnen hackers een server-side template-injectie activeren die kan resulteren in Uitvoering van externe code (RCE) (CVE-2022-22954) of escalatie van privileges naar root (CVE-2022-22960).

VMware bracht op 6 april 2022 updates uit voor beide kwetsbaarheden. Volgens CISA slaagden hackers erin de updates binnen 48 uur te reverse-engineeren en een exploit te ontwikkelen. Ze begonnen de openbaar gemaakte kwetsbaarheden snel te misbruiken op apparaten zonder patches. CISA werd een week later op de hoogte gebracht van deze exploit en voegde CVE-2022-22954 en CVE-2022-22960 respectievelijk op 14 en 15 april toe aan de catalogus van bekende misbruikte kwetsbaarheden . In overeenstemming met de bindende operationele richtlijn (BOD) 22-01, 'Het verminderen van het significante risico van bekende misbruikte kwetsbaarheden' , waren federale instanties verplicht om de updates voor CVE-2022-22954 en CVE-2022-22960 respectievelijk vóór 5 en 6 mei 2022 toe te passen.

Technische details over VMware-kwetsbaarheden

CVE-2022-22954 stelt een aanvaller met netwerktoegang in staat om een template-injectie aan de serverzijde te veroorzaken, wat kan leiden tot Remote Code Execution (RCE) . Deze kwetsbaarheid treft de volgende producten:

- VMware Workspace ONE Access, versies 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
- vIDM-versies 3.3.6, 3.3.5, 3.3.4, 3.3.3
- VMware Cloud Foundation, 4.x
- vRealize Suite LifeCycle Manager, 8.

CVE-2022-22960 stelt hackers met lokale toegang in staat om rootrechten te verhogen door onjuiste machtigingen in ondersteuningsscripts. Deze kwetsbaarheid treft de volgende producten:

- VMware Workspace ONE Access, versies 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
- vIDM, versies 3.3.6, 3.3.5, 3.3.4, 3.3.3
- vRA, versie 7.6
- VMware Cloud Foundation, 3.x, 4.x,
- vRealize Suite LifeCycle Manager, 8.x

Volgens CISA kunnen cybercriminelen deze kwetsbaarheden combineren. Bij een gecompromitteerde organisatie in april 2022 maakte een niet-geauthenticeerde aanvaller met netwerktoegang tot de webinterface gebruik van CVE-2022-22954 om een willekeurig shellcommando uit te voeren als een VMware-gebruiker. De aanvaller misbruikte vervolgens CVE-2022-22960 om de privileges van de gebruiker te verhogen naar root. Met root-toegang kon de aanvaller logbestanden wissen, machtigingen verhogen en zich lateraal naar andere systemen verplaatsen.

Wat moet je doen?

Patch uw VMware-systemen zo snel mogelijk of verwijder de getroffen software uit uw netwerk totdat er een patch kan worden toegepast.

Om altijd up-to-date te blijven, is het belangrijk om een cloudgebaseerde patchmanagementoplossing te implementeren waarmee software automatisch kan worden bijgewerkt wanneer en waar nodig. De meeste Managed Service Providers maken gebruik van een van de drie grote Remote Monitoring and Management (RMM)-oplossingen ( Connectwise , Datto en Kaseya) voor het patchen van hun beheerde systemen. Deze RMM-oplossingen bieden hun klanten naast geteste en gevalideerde patchservices ook monitoring en toegang op afstand.

Standalone patchmanagementoplossingen voor bedrijven die geen gebruik maken van de bovengenoemde RMM-oplossingen zijn onder andere ManageEngine en Automox.

U beschikt toch over een proces voor het beheren van kwetsbaarheidswaarschuwingen?

Als u abonnee bent van de diensten van CyberHoot, hebt u toegang tot onze bibliotheek met beleid en processen, met daarin het document over het beheer van kwetsbaarheidswaarschuwingen. Dit document beschrijft hoe u op dergelijke situaties moet reageren en binnen welk tijdsbestek. Als uw bedrijf nog geen VAMP-achtig proces hanteert, is dit een goed moment om te beginnen.