Se han reportado múltiples vulnerabilidades que afectan a productos VMware, que permitirían a un atacante remoto realizar evasión de autenticación, ejecución remota de código (RCE), inyección SQL, entre otros.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “crítica”, 5 (cinco) de severidad “Alta” y 4(tres) de severidad “Media” Las principales se detallan a continuación:
- CVE-2022-31656, de severidad “crítica” y puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla en los productos VMware Workspace ONE Access, Identity Manager y vRealize Automation. Esto permitiría a un atacante con acceso de red a la UI evadir el control de autenticación que afectan a los usuarios de dominio locales.
- CVE-2022-31658, de severidad “Alta” y puntuación asignada de 8.0. Esta vulnerabilidad se debe a una falla en los productos VMware Workspace ONE Access e Identity Manager. Esto permitiría a un atacante con acceso de administrador y de red realizar ejecución remota de código (RCE) del tipo inyección JDBC.
- CVE-2022-31659, de severidad “Alta” y puntuación asignada de 8.0. Esta vulnerabilidad se debe a una falla en los productos VMware Workspace ONE Access, Identity Manager y vRealize Automation. Un atacante con acceso de administrador y de red podría realizar inyección SQL y ejecución remota de código (RCE).
Puede acceder a la lista completa de vulnerabilidades aquí.
Algunos productos afectados son:
- VMware Workspace ONE Access versiones 21.08.0.1, 21.08.0.0.
- Conector de acceso de VMware Workspace ONE versiones 22.05, 21.08.0.1, 21.08.0.0.
- VMware Identity Manager (vIDM) versiones 3.x, 8.x, 4.4.x, 4.3.x, 4.2.x, 3.3.6, 3.3.5, 3.3.4.
- Conector de VMware Identity Manager (conector de vIDM) versiones 19.03.0.1, 3.3.6, 3.3.5, 3.3.4.
- VMware vRealize Automation (vRA) versiones 8, 7.6.
- Base de VMware Cloud versiones 4.4.x, 4.3.x, 4.2.x.
- vRealize Suite Lifecycle Manager versión 8.
Recomendamos acceder a las actualizaciones proporcionadas por VMware en los siguientes enlaces:
Referencias:
- https://www.vmware.com/security/advisories/VMSA-2022-0021.html
- https://core.vmware.com/vmsa-2022-0021-questions-answers-faq#section1
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31656
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31658
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31659
- https://kb.vmware.com/s/article/89084
- https://kb.vmware.com/s/article/89096