鑽石舞台

VMware 提醒客戶稱需立即修復嚴重的認證繞過漏洞(CVE-2022-22972)，它影響多款產品中的「本地域用戶」，可被用於獲取管理員權限。另外還修復了高危的本地提權漏洞（CVE-2022-22973)。美國國土安全部要求聯邦機構在5天內即下周一之前修復這兩個嚴重漏洞。

漏洞CVE-2022-22972 是由 Innotec Security 公司的研究員 Bruno López 報告的，他發現該漏洞影響 Workspace ONE Access、VMware Identity Manager (vIDM) 和 vRealize Automation。

VMware 公司解釋稱，「對UI擁有網絡訪問權限的惡意人員可能能夠在無需認證的情況下獲得管理員訪問權限。」

第二個嚴重漏洞

此外，VMware 還修復了高危的本地提權漏洞 (CVE-2022-22973)，它可導致攻擊者在未修復設備商將權限提升至根權限。

受這兩個漏洞影響的產品包括：

•VMware Workspace ONE Access (Access)

•VMware Identity Manager (vIDM)

•VMware vRealize Automation (vRA)

•VMware Cloud Foundation

•vRealize Suite Lifecycle Manager

美國國土安全部要求聯邦機構5天內修復

VMware 公司表示，鑑於CVE-2022-22972漏洞影響嚴重，因此強烈建議用戶立即採取措施。一般而言該公司會說明漏洞是否遭活躍利用的情況，但這次並未發布此類說明。VMware 公司已在知識庫網站發布了補丁下載鏈接和安裝指南。同時為無法立即打補丁的管理員發布了臨時應變措施。

在VMware 公司發布這兩個漏洞後，美國國土安全部網絡安全和基礎設施安全局 (CISA) 發布緊急指令，稱鑑於攻擊風險不斷攀升，下令聯邦民事行政部門 (FCEB)在五天內即下周一之前更新或刪除 VMware 產品。指令要求：

4月份，VMware 修復了兩個其它嚴重漏洞，即影響 VMware Workspace ONE Access 和 VMware Identity Manager 的遠程代碼執行漏洞（CVE-2022-22954）和根權限提升漏洞（CVE-2022-229600）。這兩個漏洞在補丁發布後的48小時內就被用於部署密幣挖礦機並安裝後門。

VMware 補丁下載地址及安裝指南可參見：

https://kb.vmware.com/s/article/88438

https://www.bleepingcomputer.com/news/security/nvidia-fixes-ten-vulnerabilities-in-windows-gpu-display-drivers/

https://www.bleepingcomputer.com/news/security/dhs-orders-federal-agencies-to-patch-vmware-bugs-within-5-days/

題圖：Pixabay License

本文由奇安信編譯，不代表奇安信觀點。轉載請註明「轉自奇安信代碼衛士 https://codesafe.qianxin.com」。

奇安信代碼衛士 (codesafe)

國內首個專注於軟件開發安全的產品線。

覺得不錯，就點個「在看」 或 "贊」 吧~