Vulnérabilité dans la console Workspace de VMware

Date de publication :

CVE-2021-22054[Score CVSS v3.1: 9.1]

Cette vulnérabilité permet à un attaquant de falsifier des requêtes (attaque de type SSRF pour Server Side Request Forgery) afin de s’octroyer un accès à des données sensibles. En effet, il est possible d’entrer des requêtes malveillantes par l’interface du produit Workspace Console pour contourner la politique de sécurité.



Workspace est une console qui offre une gestion centralisée avec laquelle il est possible, entre autres, de configurer des stratégies d'authentifications et les ressources allouées pour les différents utilisateurs.  

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Atteinte à la confidentialité des données

    Contournement de la politique de sécurité

Criticité

    Score CVSS v3.1: 9.1

La faille est activement exploitée

    Non

Un correctif existe

    Oui

Une mesure de contournement existe

    Oui

Les vulnérabilités exploitées sont du type

    CWE-918 : Server-Side Request Forgery

Détails sur l’exploitation

    Vecteur d’attaque : Réseau

    Complexité de l’attaque : Faible

    Privilèges nécessaires pour réaliser l’attaque : Non

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non

Composants vulnérables.

Les versions suivantes sont concernées :

    VMware Workspace ONE UEM Console 2008

    VMware Workspace ONE UEM Console 2011

    VMware Workspace ONE UEM Console 2102

    VMware Workspace ONE UEM Console 2105

 

Solutions ou recommandations

Les correctifs disponibles sont les suivants :

  • Pour VMware Workspace ONE UEM Console 2008, mettre à jour vers la version 21.5.0.37
     
  • Pour VMware Workspace ONE UEM Console 2011, mettre à jour vers la version 21.2.0.27
     
  • Pour VMware Workspace ONE UEM Console 2102, mettre à jour vers la version 20.11.0.40
     
  • Pour VMware Workspace ONE UEM Console 2105, mettre à jour vers la version 20.0.8.36

 

Des solutions de contournement existent pour chacune des versions impactées :

Liens