【资讯处-转知】 (ANA事件单通知:TACERT-ANA-2022102810104444)(【漏洞预警】VMware Workspace ONE Access、Identity Manager、Cloud Foundation及vRealize Suite Lifecycle Manager存在安全漏洞(CVE-2022-22954)，允许攻击者远端执行任意程式码，请尽速确认并进行更新)

2022-10-30
漏洞预警

发布编号：TACERT-ANA-2022102810104444

发布时间：2022-10-28 10:27:44

事故类型：ANA-漏洞预警

发现时间：2022-10-28 10:20:44

影响等级：中

[主旨说明:]

【漏洞预警】VMware Workspace ONE Access、Identity Manager、Cloud Foundation及vRealize Suite Lifecycle Manager存在安全漏洞(CVE-2022-22954)，允许攻击者远端执行任意程式码，请尽速确认并进行更新

[内容说明:]

转发国家资安资讯分享与分析中心 NISAC-ANA-202210-1109

研究人员发现VMware Workspace ONE Access、Identity Manager、Cloud Foundation及vRealize Suite Lifecycle Manager存在服务器端模板注入(Server-side template injection)漏洞(CVE-2022-22954)，此漏洞已遭开采利用，远端攻击者可透过传送带有恶意指令之讯息发动注入攻击，进而执行任意程式码。

[影响平台:]

● VMware Workspace ONE Access 20.10.0.0、20.10.0.1、21.08.0.0及21.08.0.1版本

● VMware Identity Manager3.3.3、3.3.4、3.3.5及3.3.6版本

● VMware Cloud Foundation 4.X版本

● vRealize Suite Lifecycle Manager 8.X版本

[建议措施:]

目前VMware官方已针对此漏洞释出更新程式，请各机关可联络设备维护厂商或参考官方说明(https://www.vmware.com/security/advisories/VMSA-2022-0011.html)进行版本更新。

[参考资料:]

1. https://www.vmware.com/security/advisories/VMSA-2022-0011.html

2. https://kb.vmware.com/s/article/88099

3. VMware Workspace ONE Access重大漏洞遭滥用植入多种恶意程式

4. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22954