|
' E1 P) A! y' X; w5 d VMware VMware已针对多个产品发布了安全更新，以解决一个可被利用来访问机密信息的严重漏洞跟踪为CVE-2021-22002（CVSS 评分：8.6）和CVE-2021-22003（CVSS 评分：3.7），这些缺陷影响 VMware Workspace One Access (Access)、VMware Identity Manager (vIDM)、VMware vRealize Automation (vRA) 、VMware Cloud Foundation 和 vRealize Suite Lifecycle Manager。  $ a, A0 [4 i- x2 H- q0 z0 ?1 h
CVE-2021-22002 涉及 VMware Workspace One Access 和 Identity Manager 如何通过篡改主机标头来允许通过端口 443 访问“/cfg”Web 应用程序和诊断端点的问题，从而导致服务器端请求。
F! x7 k9 |7 H7 ]& G1 L 该公司在其公告中表示： “具有对端口 443 的网络访问权限的恶意行为者可能会篡改主机标头以促进对 /cfg Web 应用程序的访问，此外，黑客还可以在未经身份验证的情况下访问 /cfg 诊断端点”  * y" N7 J) a0 a& ~8 B; y9 t
知名网络安全专家、东方联盟创始人郭盛华透露，VMware 还解决了一个信息泄露漏洞，该漏洞通过端口 7443 上无意暴露的登录界面影响 VMware Workspace One Access 和 Identity Manager。 ; s; u/ ?1 ]1 _+ k- t8 V. y% H
具有对端口 7443 的网络访问权限的攻击者可能会发起暴力攻击，该公司指出：“根据目标账户的锁定策略配置和密码复杂性，可能实用，也可能不实用”对于无法升级到最新版本的客户，VMware为 CVE-2021-22002提供了一个解决方法脚本，该脚本可以独立部署而无需使 vRA 设备脱机。 G, ?) r. W& n& I
“该解决方法禁用了解析 vIDM 配置页面的能力该端点未在 vRA 7.6 环境中使用，不会对功能造成任何影响，”该公司表示（欢迎转载分享）
9 V: I( v/ c. U: z# k8 o3 D; i# `: z! |8 i# d* D4 b
" A7 Y9 K6 L6 ]. [/ ?. m# _ p ]/ K! v1 e
: l3 K X# J; u ^ N | 
* y" N7 J) a0 a& ~8 B; y9 t
