|
) E& }( t, q9 x; m' [ VMware VMware已针对多个产品发布了安全更新，以解决一个可被利用来访问机密信息的严重漏洞跟踪为CVE-2021-22002（CVSS 评分：8.6）和CVE-2021-22003（CVSS 评分：3.7），这些缺陷影响 VMware Workspace One Access (Access)、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA) 、VMware Cloud Foundation 和 vRealize Suite Lifecycle Manager。 
( q! Q! t' a( G6 r. U. k: ~5 ]$ G CVE-2021-22002 涉及 VMware Workspace One Access 和 Identity Manager 如何通过篡改主机标头来允许通过端口 443 访问“/cfg”Web 应用程序和诊断端点的问题，从而导致服务器端请求。 2 f3 T6 b2 ?4 f+ U! A9 w
该公司在其公告中表示： “具有对端口 443 的网络访问权限的恶意行为者可能会篡改主机标头以促进对 /cfg Web 应用程序的访问，此外，黑客还可以在未经身份验证的情况下访问 /cfg 诊断端点” 
0 ^) s5 ?" m: S+ c3 @4 u 知名网络安全专家、东方联盟创始人郭盛华透露，VMware 还解决了一个信息泄露漏洞，该漏洞通过端口 7443 上无意暴露的登录界面影响 VMware Workspace One Access 和 Identity Manager。
/ J$ `; u9 ~# X8 r 具有对端口 7443 的网络访问权限的攻击者可能会发起暴力攻击，该公司指出：“根据目标账户的锁定策略配置和密码复杂性，可能实用，也可能不实用”对于无法升级到最新版本的客户，VMware为 CVE-2021-22002提供了一个解决方法脚本，该脚本可以独立部署而无需使 vRA 设备脱机。 ! t) b" O# z J) d% \$ q
“该解决方法禁用了解析 vIDM 配置页面的能力该端点未在 vRA 7.6 环境中使用，不会对功能造成任何影响，”该公司表示（欢迎转载分享） : S" V( ~7 `; f9 j, X# I7 [
# n; ]! o# O9 z+ |" d
. K( u$ h# G5 v' c
# t5 L$ P0 M: ~$ N4 l0 A$ Q. P+ m* ?% X# H3 C+ D; b; h# ]2 F
| 
