VMware advarer om tre kritiske huller

Af Eskil Sørensen, 09/11/22

Tre fejl med en score på 9,8.

VMware har offentliggjort og rettet tre kritiske fejl i Workspace ONE Assist til Windows. Det skriver The Register og Bleeping Computer. Alle tre fejl har fået en høj score på 9,8 på CVSS-skalaen. Årsagen til den høje score er, at en angriber kan udnytte fejlene til at få administrator adgang. Det kan ske gennem angreb med lav kompleksitet, der ikke kræver brugerinteraktion.

Særligt kritisk er det, eftersom Workspace ONE Assist til Windows er et produkt, der bruges af IT- og helpdesk-medarbejdere til at fjernovertage og administrere medarbejderes enheder, lave skærmdeling, fjernafvikle kommandoer og udføre filsystemadministration. Med andre ord er der risiko for, at enhver relativt let kan udgive sig for at være Windows IT-support og tage kontrol over personalets enheder – enten over internettet eller på netværket.

Fejlene har id’erne CVE-2022-31685 (authentication bypass), CVE-2022-31686 (broken authentication method) og CVE-2022-31687 (broken authentication control).

VMware har rettet fejlene ifm. udgivelsen af Workspace ONE Assist 22.10 (89993) til Windows-kunder.

I pakken er der også rettelser til en XSS-sårbarhed (CVE-2022-31688), der gør det muligt for angribere at injicere javascript-kode i ofrets vindue og en ’session fixation’-sårbarhed (CVE-2022-31689), der tillader godkendelse efter opnåelse af en gyldig sessionstoken.