首页 > 安全研究 > 安全通报 > 安全通告

【漏洞通告】VMware未授权访问漏洞(CVE-2021-22002)

发布时间 2021-08-06

0x00 漏洞概述

CVE   ID

CVE-2021-22002

时    间

2021-08-05

类    型

未授权访问

等    级

高危

远程利用

是

影响范围


攻击复杂度

低

可用性

低

用户交互

无

所需权限

无

PoC/EXP

未公开

在野利用

否

 

0x01 漏洞详情

image.png

2021年8月5日，VMware发布安全更新，修复了其多个产品中的2个安全漏洞（CVE-2021-22002和CVE-2021-22003），这些漏洞影响了VMware Workspace One Access (Access)、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA)、VMware Cloud Foundation和vRealize Suite Lifecycle Manager产品。详情如下：

VMware未授权访问漏洞(CVE-2021-22002)

VMware Workspace One Access 和 Identity Manager中存在未授权访问漏洞，能够网络访问443端口的恶意攻击者可以通过篡改主机头来访问8443端口上的/cfg web应用程序和诊断端点（未经身份验证），该漏洞的CVSSv3评分为8.6（高危）。

 

VMware信息泄露漏洞(CVE-2021-22003)

由于VMware Workspace One Access 和 Identity Manager意外在7443端口提供了一个登录界面，能够网络访问7443端口的恶意攻击者可能会尝试通过用户枚举或对登录端点进行暴力破解攻击。但由于策略配置和密码复杂性，该漏洞不太可能被利用，其CVSSv3评分为3.7（低危）。

 

0x02 处置建议

目前这些漏洞已经修复。建议参考下表及时升级更新：

产品

影响版本

CVE-ID

补丁

Access

20.10.01

CVE-2021-22002, CVE-2021-22003

https://kb.vmware.com/s/article/85254

20.10

vIDM

3.3.5

CVE-2021-22002, CVE-2021-22003

3.3.4

3.3.3

3.3.2

vRealize Automation

8.x

CVE-2021-22002, CVE-2021-22003

不受影响

vRealize Automation (vIDM)

7.6

CVE-2021-22002

补丁计划：

https://kb.vmware.com/s/article/85255

vRealize Automation (vIDM)

7.6

CVE-2021-22003

不受影响

VMware Cloud Foundation (vIDM)

4.x

CVE-2021-22002, CVE-2021-22003

https://kb.vmware.com/s/article/85254

8.x

 

下载链接：

https://www.vmware.com/security/advisories/VMSA-2021-0016.html

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0016.html

https://kb.vmware.com/s/article/85254

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22002

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-06

首次发布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

 

0x06 关于我们

关注以下公众号，获取更多资讯：

         image.png

上一篇 下一篇