Vulnérabilités critiques dans des produits VMware

Date de publication :

CVE-2022-22972[Score CVSS v3.1 : 9.8] (critique)

Une faille de contournement d'authentification affecte les utilisateurs du domaine local de VMware Workspace ONE Access, Identity Manager et vRealize Automation. Un attaquant distant peut contourner la politique de sécurité et obtenir des privilèges élevés.

CVE-2022-22973[Score CVSS v3.1 : 7.8]

Une vulnérabilité affectant VMware Workspace ONE Access et Identity Manager permet à un attaquant d’obtenir les privilèges les plus élevés.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Contournement de la politique de sécurité

    Élévation de privilèges

Criticité

    Score CVSS v3.1: 9.8 max (critique)

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

La vulnérabilité exploitée est du type

CWE-287: Improper Authentication

CWE-264: Permissions, Privileges, and Access Controls

Détails sur l’exploitation

Pour la CVE-2022-22972

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-22973

    Vecteur d’attaque : Local.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Composants vulnérables

Pour la CVE-2022-22972

    VMware Identity Manager 3.3.3

    VMware vRealize Automation 7.6

    VMware Workspace ONE Access 21.08.0.1

    VMware Workspace ONE Access 21.08.0.0

    VMware Workspace ONE Access 20.10.0.1

    VMware Workspace ONE Access 20.10.0.0

    VMware Identity Manager 3.3.6

    VMware Identity Manager 3.3.5

    VMware Identity Manager 3.3.4

    VMware vRealize Automation 8

Pour la CVE-2022-22973

    VMware Identity Manager 3.3.3

    VMware Workspace ONE Access 21.08.0.1

    VMware Workspace ONE Access 21.08.0.0

    VMware Workspace ONE Access 20.10.0.1

    VMware Workspace ONE Access 20.10.0.0

    VMware Identity Manager 3.3.6

    VMware Identity Manager 3.3.5

    VMware Identity Manager 3.3.4

Solutions ou recommandations

Mettre à jour les produits impactés avec les correctifs correspondant à chaque version disponible ici.

Une mesure de contournement est disponible pour la CVE-2022-22972. Des informations complémentaires sont disponibles ici.

Liens