VMware corrige 5 failles critiques dans plusieurs de ses produits
Plusieurs produits de chez VMware sont vulnérables à des attaques de type "exécution de code à distance". L'éditeur conseille fortement à ses clients d'appliquer les correctifs dès que possible. Quels sont les produits concernés ? Faisons le point.
Au sein de son bulletin de sécurité VMSA-2022-0011, VMware mentionne que plusieurs failles de sécurité, avec des scores CVSS compris entre 5,3 et 9,8 sur 10, ont étaient corrigées dans différents produits :
- VMware Workspace ONE Access (Access)
- VMware Identity Manager (vIDM)
- VMware vRealize Automation (vRA)
- VMware Cloud Foundation
- VMware vRealize Suite Lifecycle Manager
VMware affirme avoir corrigé un total de 8 vulnérabilités, dont 5 vulnérabilités critiques dont voici un peu plus d'informations :
- CVE-2022-22954 : Exécution de code à distance "server-side template"
- CVE-2022-22955 et CVE-2022-22956 : Bypass de l'authentification OAuth2 ACS
- CVE-2022-22957 et CVE-2022-22958 : Exécution de code à distance dans JDBC (Java DataBase Connectivity)
Les autres vulnérabilités, avec une sévérité moindre, sont : CVE-2022-22959 (attaque CSRF), CVE-2022-22960 (élévation de privilèges) et CVE-2022-22961 (récupération d'informations sans autorisation).
Si vous êtes concerné, il est vivement recommandé de patcher votre instance sans attendre, comme l'indique VMWare : "[...] étant donné la gravité de la vulnérabilité, nous recommandons fortement une action immédiate.". Même si pour le moment il n'y a pas de preuve que ces vulnérabilités sont exploitées dans le cadre d'attaques, il vaut mieux se protéger.
Pour les personnes qui ne sont pas en mesure d'appliquer les correctifs pour le moment, VMware propose une solution d'atténuation temporaire, mais qui ne protège pas aussi bien que le patch en lui-même. Cette solution, expliquée dans cet article, consiste à exécuter un script Python fourni par VMware sur les appliances affectées (VMware Workspace ONE Access Appliance, VMware Identity Manager Appliance et VMware Realize Automation).
Récemment, c'est la vulnérabilité Spring4Shell (située dans le framework Spring de Java) qui a touché certains produits de chez VMware comme je l'expliquais dans un précédent article.
