安全警告：VMware 漏洞使黑客能够控制系统

19 年 2022 月 XNUMX 日 | 咨询, 博客

CyberHoot 漏洞警报管理流程评级 (VAMP)：严重/红色 19：CyberHoot 了解到 VMware 软件存在多个漏洞，这些漏洞被追踪为 CVE-2022-22954 （基准分数：9.8/10）和 CVE-2022-22960 （基础评分：7.8/10），并且正在被黑客积极利用。这些漏洞影响 VMware Workspace ONE Access、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA)、VMware Cloud Foundation 和 vRealize Suite Lifecycle Manager 的某些版本。利用这些漏洞，黑客可以触发服务器端模板注入，从而可能导致远程代码执行（RCE）（CVE-2022-22954）或将权限提升至 root 权限（CVE-2022-22960）。

VMware于2022年4月6日发布了针对这两个漏洞的更新。据美国网络安全和基础设施安全局（CISA）称，黑客在48小时内便对这些更新进行了逆向工程，开发出利用程序，并迅速开始利用未打补丁的设备上的漏洞。CISA在一周后获悉了这一漏洞利用情况，并分别于4月14日和15日将CVE-2022-22954和CVE-2022-22960添加到其已知已利用漏洞目录中。根据《约束性操作指令》（BOD）22-01《降低已知已利用漏洞的重大风险》，联邦机构必须分别在2022年5月5日和5月6日之前应用针对CVE-2022-22954和CVE-2022-22960的更新。

VMware 漏洞技术细节

CVE-2022-22954 允许具有网络访问权限的攻击者触发服务器端模板注入，从而可能导致远程代码执行(RCE)。此漏洞影响以下产品：

- VMware Workspace ONE Access，版本 21.08.0.1、21.08.0.0、20.10.0.1、20.10.0.0
- vIDM 版本 3.3.6、3.3.5、3.3.4、3.3.3
- VMware 云基础 4.x
- vRealize Suite 生命周期管理器，8。

CVE-2022-22960 漏洞利用支持脚本中的不当权限，允许具有本地访问权限的黑客将权限提升至 root 权限。此漏洞影响以下产品：

- VMware Workspace ONE Access，版本 21.08.0.1、21.08.0.0、20.10.0.1、20.10.0.0
- vIDM，版本 3.3.6、3.3.5、3.3.4、3.3.3
- vRA，版本 7.6
- VMware 云基础，3.x、4.x、
- vRealize Suite 生命周期管理器 8.x

根据美国网络安全和基础设施安全局 (CISA) 的说法，攻击者可能会利用这些漏洞进行连锁攻击。在 2022 年 4 月，一家遭受攻击的机构中，一名未经身份验证的攻击者通过网络访问了 Web 界面，并利用 CVE-2022-22954 以 VMware 用户身份执行了任意 shell 命令。随后，该攻击者利用 CVE-2022-22960 将用户权限提升至 root。获得 root 权限后，攻击者可以清除日志、提升权限，并横向移动到其他系统。

你该怎么办？

尽快修补您的 VMware 系统，或从您的网络中删除受影响的软件，直到可以应用补丁为止。

为了始终保持最新状态，部署基于云的补丁管理解决方案至关重要，它可以随时随地自动更新软件。大多数托管服务提供商都采用三大远程监控和管理(RMM) 解决方案之一（Connectwise、Datto和Kaseya）来为其托管系统打补丁。这些 RMM 解决方案除了为客户提供经过测试和验证的补丁服务外，还提供监控和远程访问功能。

对于未使用上述 RMM 解决方案的公司，独立的补丁管理解决方案包括ManageEngine和Automox。