【缝隙公告】VMware未授权接见缝隙(CVE-2021-22002)
颁布功夫 2021-08-060x00 缝隙概述
CVE ID | CVE-2021-22002 | 时 间 | 2021-08-05 |
类 型 | 未授权接见 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 可用性 | 低 |
用户交互 | 无 | 所需权限 | 无 |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 缝隙详情
2021年8月5日 ，VMware颁布安全更新 ，建复了其多个产品中的2个安全缝隙（CVE-2021-22002和CVE-2021-22003） ，这些缝隙影响了VMware Workspace One Access (Access)、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA)、VMware Cloud Foundation和vRealize Suite Lifecycle Manager产品。详情如下：
VMware未授权接见缝隙(CVE-2021-22002)
VMware Workspace One Access 和 Identity Manager中存在未授权接见缝隙 ，可能网络接见443端口的恶意攻击者能够通过篡改主机头来接见8443端口上的/cfg web利用法式和诊断端点（未经身份验证） ，该缝隙的CVSSv3评分为8.6（高危）。
VMware信息泄露缝隙(CVE-2021-22003)
由于VMware Workspace One Access 和 Identity Manager意表在7443端口提供了一个登录界面 ，可能网络接见7443端口的恶意攻击者可能会尝试通过用户枚举或对登录端点进行暴力破解攻击。但由于战术配置和密码复杂性 ，该缝隙不太可能被利用 ，其CVSSv3评分为3.7（低危）。
0x02 措置建议
目前这些缝隙已经建复。建议参考下表实时升级更新：
产品 | 影响版本 | CVE-ID | 补丁 |
Access | 20.10.01 | CVE-2021-22002, CVE-2021-22003 | https://kb.vmware.com/s/article/85254 |
20.10 | |||
vIDM | 3.3.5 | CVE-2021-22002, CVE-2021-22003 | |
3.3.4 | |||
3.3.3 | |||
3.3.2 | |||
vRealize Automation | 8.x | CVE-2021-22002, CVE-2021-22003 | 不受影响 |
vRealize Automation (vIDM) | 7.6 | CVE-2021-22002 | 补丁打算： https://kb.vmware.com/s/article/85255 |
vRealize Automation (vIDM) | 7.6 | CVE-2021-22003 | 不受影响 |
VMware Cloud Foundation (vIDM) | 4.x | CVE-2021-22002, CVE-2021-22003 | https://kb.vmware.com/s/article/85254 |
8.x |
下载链接：
https://www.vmware.com/security/advisories/VMSA-2021-0016.html
0x03 参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0016.html
https://kb.vmware.com/s/article/85254
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22002
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-08-06 | 初次颁布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
0x06 关于宝运莱官方网站
关注以下公家号 ，获取更多资讯：
京公网安备11010802024551号