Suivi KEV › VMware

CVE-2022-22954 VMware Workspace ONE Access and Identity Manager : vulnérabilité d'injection de modèle côté serveur

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 14 avril 2022.

  • Produit : VMware Workspace ONE Access and Identity Manager
  • Ajoutée au catalogue : 14 avril 2022
  • Échéance CISA : 5 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-94
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

VMware Workspace ONE Access and Identity Manager permet une exécution de code à distance en raison d'une injection de modèle côté serveur.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • cloud foundation : versions ≥ 4.0 et ≤ 4.3.1
  • vrealize suite lifecycle manager : versions ≥ 8.0 et ≤ 8.2
  • identity manager : 4 versions, de 3.3.3 à 3.3.6
  • vrealize automation : version 7.6
  • workspace one access : 4 versions, de 20.10.0.0 à 21.08.0.1

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Génération de code non contrôlée (CWE-94) : Le produit construit tout ou partie d'un segment de code en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la syntaxe ou le comportement du segment de code prévu.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

VMware Workspace ONE Access and Identity Manager Server-Side Template Injection Vulnerability

VMware Workspace ONE Access and Identity Manager allow for remote code execution due to server-side template injection.

Required action: Apply updates per vendor instructions.

← Toutes les failles VMware · Suivi KEV