Con fecha 7 de abril del 2022, se conoció que los investigadores Steven Seeley (mr_me), del Qihoo 360 Vulnerability Research Institute de China, y Jack Luketina, han reportado 10 vulnerabilidades: 5 de severidad crítica, 4 altas y una moderada en productos VMware. Esta empresa estadounidense produce software de virtualización para ordenadores compatibles X86.

La explotación de estas vulnerabilidades podría permitir a un atacante ejecutar código remoto, omitir la autenticación, CSRF (Cross-Site Request Forgery), escalar privilegios locales y divulgar información.

Productos afectados:

1. VMware Workspace ONE Access (Access), versiones: 21.08.0.1; 21.08.0.0; 20.10.0.1; 20.10.0.0.

2. VMware Identity Manager (vIDM), versiones: 3.3.6; 3.3.5; 3.3.4; 3.3.3.

3. VMware vRealize Automation (vRA), versión 7.6

4. VMware Cloud Foundation, versiones; 4x y 3x

5. VRealize Suite Lifecycle Manager, versiones 8.x.

6. Horizon Client para Linux, versiones 21.x

Descripción:

Las vulnerabilidades críticas se describen a continuación:

• Un atacante con acceso a la red podría realizar una inyección en la plantilla del lado del servidor (server-side template injection), lo que podría dar lugar a la ejecución remota de código (RCE). Se ha asignado el identificador CVE-2022-22954 para esta vulnerabilidad.
• Un atacante podría eludir el mecanismo de autenticación y ejecutar cualquier operación, gracias a los endpoints expuestos en el framework de autenticación OAuth2 ACS. Se han asignado los identificadores CVE-2022-22955 y CVE-2022-22956 para estas vulnerabilidades.
• Un atacante con acceso administrativo podría provocar la deserialización de datos no confiables a través de una URI JDBC maliciosa, lo que podría resultar en la ejecución remota de código. Se han asignado los identificadores CVE-2022-22957 y CVE-2022-22958 para estas vulnerabilidades.

Para el resto de vulnerabilidades altas y medias se han asignado los identificadores CVE-2022-22959, CVE-2022-22960, CVE-2022-22961, CVE-2022-22962 y CVE-2022-22964.

Recomendaciones:

En Horizon Client para Linux, actualizar a la versión 2203.

Para el resto de productos afectados, aplicar las instrucciones de parcheado recogidas en KB88099.

Referencias:

• https://www.vmware.com/security/advisories/VMSA-2022-0011.html
• https://www.vmware.com/security/advisories/VMSA-2022-0012.html
• https://core.vmware.com/vmsa-2022-0011-questions-answers-faq