VMware vRealize Operations多个漏洞安全风险通告
VMware vRealize Operations多个漏洞安全风险通告
安全内参 2022-08-11 19:42
近日，奇安信CERT监测到VMware官方发布VMware vRealize Operations多个漏洞安全通告，其中包括：
-
VMware vRealize Operations身份验证绕过漏洞(CVE-2022-31675)；
-
VMware vRealize Operations信息泄露漏洞(CVE-2022-31674)；
-
VMware vRealize Operations权限提升漏洞(CVE-2022-31672)。
这三个漏洞评级为中/高，单独利用时影响有限，但通过组合利用可最终实现身份验证绕过，并以root权限在目标机器上执行任意命令。目前，奇安信CERT已监测到这些漏洞的技术细节及POC在互联网上公开。
鉴于漏洞影响较大，建议客户尽快做好自查及防护。
|
|
VMware vRealize Operations身份验证绕过漏洞 |
||
|
公开时间 |
2022-08-09 |
更新时间 |
2022-08-11 |
|
CVE编号 |
CVE-2022-31675 |
其他编号 |
QVD-2022-13073 |
|
威胁类型 |
身份认证绕过 |
技术类型 |
身份认证绕过 |
|
厂商 |
VMware |
产品 |
VMware vRealize Operations |
|
风险等级 |
|||
|
奇安信CERT风险评级 |
风险等级 |
||
|
中危 |
蓝色（一般事件） |
||
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
漏洞描述 |
VMware vRealize Operations MainPortalFilter类中存在漏洞，这允许具有有效仪表板链接ID的攻击者绕过身份验证。 |
||
|
影响版本 |
VMware vRealize Operations 8.x < 8.6.4 |
||
|
不受影响版本 |
VMware vRealize Operations 8.6.4 |
||
|
其他受影响组件 |
无 |
||
|
|
VMware vRealize Operations信息泄露漏洞 |
||
|
公开时间 |
2022-08-09 |
更新时间 |
2022-08-11 |
|
CVE编号 |
CVE-2022-31674 |
其他编号 |
QVD-2022-13074 |
|
威胁类型 |
信息泄露 |
技术类型 |
敏感信息写入日志 |
|
厂商 |
VMware |
产品 |
VMware vRealize Operations |
|
风险等级 |
|||
|
奇安信CERT风险评级 |
风险等级 |
||
|
中危 |
蓝色（一般事件） |
||
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
漏洞描述 |
VMware vRealize Operations中存在敏感信息泄露漏洞，Pak manager将敏感密码写入日志文件，具有低权限的恶意攻击者可以通过访问该日志文件，获取敏感信息。 |
||
|
影响版本 |
VMware vRealize Operations 8.x < 8.6.4 |
||
|
不受影响版本 |
VMware vRealize Operations 8.6.4 |
||
|
其他受影响组件 |
无 |
||
|
|
VMware vRealize Operations权限提升漏洞 |
||
|
公开时间 |
2022-08-09 |
更新时间 |
2022-08-11 |
|
CVE编号 |
CVE-2022-31672 |
其他编号 |
QVD-2022-13075 |
|
威胁类型 |
权限提升 |
技术类型 |
权限管理错误 |
|
厂商 |
VMware |
产品 |
VMware vRealize Operations |
|
风险等级 |
|||
|
奇安信CERT风险评级 |
风险等级 |
||
|
高危 |
蓝色（一般事件） |
||
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
漏洞描述 |
VMware vRealize Operations Manager generateSupportBundle.py 脚本中存在漏洞，由于允许攻击者指定用于构造路径的VCOPS_BASE环境变量从而导致权限提升。 |
||
|
影响版本 |
VMware vRealize Operations 8.x < 8.6.4 |
||
|
不受影响版本 |
VMware vRealize Operations 8.6.4 |
||
|
其他受影响组件 |
无 |
||
威胁评估
|
漏洞名称 |
VMware vRealize Operations身份验证绕过漏洞 |
|||
|
CVE编号 |
CVE-2022-31675 |
其他编号 |
QVD-2022-13073 |
|
|
CVSS 3.1评级 |
中危 |
CVSS 3.1分数 |
5.6 |
|
|
CVSS向量 |
访问途径（AV） |
攻击复杂度（AC） |
||
|
网络 |
高 |
|||
|
所需权限（PR） |
用户交互（UI） |
|||
|
无 |
不需要 |
|||
|
影响范围（S） |
机密性影响（C） |
|||
|
不改变 |
低 |
|||
|
完整性影响（I） |
可用性影响（A） |
|||
|
低 |
低 |
|||
|
危害描述 |
具有网络访问权限的未经身份验证的恶意攻击者可绕过VMware vRealize Operations Manager的身份验证。 |
|||
|
漏洞名称 |
VMware vRealize Operations信息泄露漏洞 |
|||
|
CVE编号 |
CVE-2022-31674 |
其他编号 |
QVD-2022-13074 |
|
|
CVSS 3.1评级 |
中危 |
CVSS 3.1分数 |
6.5 |
|
|
CVSS向量 |
访问途径（AV） |
攻击复杂度（AC） |
||
|
网络 |
低 |
|||
|
所需权限（PR） |
用户交互（UI） |
|||
|
低权限 |
不需要 |
|||
|
影响范围（S） |
机密性影响（C） |
|||
|
不改变 |
高 |
|||
|
完整性影响（I） |
可用性影响（A） |
|||
|
无 |
无 |
|||
|
危害描述 |
具有低权限的恶意攻击者可通过访问日志文件，导致敏感信息泄露。 |
|||
|
漏洞名称 |
VMware vRealize Operations权限提升漏洞 |
|||
|
CVE编号 |
CVE-2022-31672 |
其他编号 |
QVD-2022-13075 |
|
|
CVSS 3.1评级 |
高危 |
CVSS 3.1分数 |
7.2 |
|
|
CVSS向量 |
访问途径（AV） |
攻击复杂度（AC） |
||
|
网络 |
低 |
|||
|
所需权限（PR） |
用户交互（UI） |
|||
|
高权限 |
不需要 |
|||
|
影响范围（S） |
机密性影响（C） |
|||
|
不改变 |
高 |
|||
|
完整性影响（I） |
可用性影响（A） |
|||
|
高 |
高 |
|||
|
危害描述 |
攻击者可指定用于构造路径的VCOPS_BASE环境变量从而导致权限提升。 |
|||
通过组合利用这些漏洞可最终实现：未经身份认证的远程攻击者以root权限在目标机器上执行任意命令。
处置建议
目前官方已有可更新版本，建议用户升级至VMware vRealize Operations 8.6.4及以上版本。
https://customerconnect.vmware.com/en/downloads/info/slug/infrastructure_operations_management/vmware_vrealize_operations/8_6
参考资料
[1]https://www.vmware.com/security/advisories/VMSA-2022-0022.html
推荐阅读
– 网安智库平台长期招聘兼职研究员
文章来源：奇安信 CERT
点击下方卡片关注我们，
带你一起读懂网络安全 ↓