VMware Warns of 3 New Critical Flaws Affecting Workspace ONE Assist Software
2022/11/09 TheHackerNews — VMware の Workspace ONE Assist ソリューションに影響を及ぼす、５つのセキュリティ上の欠陥が修正された。このうち、最も深刻な脆弱性は、CVE-2022-31685／CVE-2022-31686／CVE-2022-31687 の３件である。これらの欠点は、そのすべてが CVSS 値 9.8 と評価されている。脆弱性 CVE-2022-31685 は、VMware Workspace ONE Assist に存在する認証バイパスの脆弱性であり、ネットワーク・アクセスが可能な攻撃者が悪用に成功すると、このアプリケーションで認証を得すことなく、Admin アクセスを取得する可能性が生じる。
脆弱性 CVE-2022-31686 は破壊された認証として、CVE-2022-31687 は破壊されたアクセス制御として、VMware により説明されている。
VMware は、CVE-2022-31686／CVE-2022-31687 のアドバイザリにおいて、「ネットワーク・アクセスを持つ悪意のある行為者は、アプリケーションへの認証を必要とせずに Admin アクセスを取得できる」と述べている。
もう１つの脆弱性 CVE-2022-31688 (CVSS：6.4) は、不適切なユーザー入力のサニタイズに起因するクロス・サイト・スクリプティング (XSS) の脆弱性である。その悪用に成功した攻撃者は、ターゲット・ユーザーのウィンドウへ向けて、任意の JavaScript コードを挿入できるようになる。
このパッチには、セッションの固定化の脆弱性 CVE-2022-31689 (CVSS：4.2) に対するものも含まれる。VMware は、セッション・トークンの不適切な処理 結果として、「有効なセッション・トークンを取得した驚異アクターが、そのトークンを悪用して、対象となるアプリケーションの認証を得る可能性がある」と述べている。
オランダの Reqon 社のセキュリティ研究者 Jasper Westerman／Jan van der Put／Yanick de Pater／Harm Blankers が、この欠陥を発見／報告したとされている。
すべての問題は、VMware Workspace ONE Assist のバージョン 21.x／22.x に影響するものだが、バージョン 22.10 で修正されている。また、一連の脆弱性に対処するワークアラウンドは、存在しないとされている。
VMware の脆弱性ですが、リモートコード実行の脆弱性 CVE-2021-39144 が、10月26日に FIX したと報じられ、10月28日には PoC エクスプロイトが公開と報じられたばかしという状況です。また、その直前には、 The State of the Software Supply Chain: Open Source Edition 2022 というレポートを提供しています。その概要は、10月17日の「VMware の OSS 調査：新たな懸念はサプライチェーンの効率と安全性の不足」という記事で紹介しています。よろしければ、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.