近日，我司监测到VMware官方发布安全通告告，其中包含了影响VMware Workspace ONE Access、Identity Manager 和 vRealize Automation组件的多个高危漏洞（CVE-2022-31656、CVE-2022-31657、CVE-2022-31658、CVE-2022-31659、CVE-2022-31660、CVE-2022-31661、CVE-2022-31662、CVE-2022-31663、CVE-2022-31664、CVE-2022-31665）。

Workspace ONE Access 是 VMware 公司开发的一款智能驱动型数字化工作空间平台，通过 Workspace ONE Access 能够随时随地在任意设备上轻松、安全地交付和管理任意应用。

漏洞详情如下：

1.CVE-2022-31656 身份验证绕过漏洞

漏洞类型：身份验证绕过漏洞

风险等级：严重

漏洞描述：VMware Workspace ONE Access、Identity Manager 和 vRealize Automation存在一个影响本地域用户的身份验证绕过漏洞，对 UI 具有网络访问权限的攻击者可能无需进行身份验证即可获得管理访问权限。

2.CVE-2022-31657 URL 注入漏洞

漏洞类型：URL 注入漏洞

风险等级：中危

漏洞描述：VMware Workspace ONE Access and Identity Manager存在一个 URL 注入漏洞，具有网络访问权限的攻击者可能将经过身份验证的用户重定向到任意域。

3.CVE-2022-31658 JDBC 注入远程代码执行漏洞

漏洞类型：远程代码执行

风险等级：严重

漏洞描述：VMware Workspace ONE Access、Identity Manager 和 vRealize Automation存在一个远程代码执行漏洞，具有管理员和网络访问权限的攻击者可以触发远程代码执行。

4.CVE-2022-31659 SQL注入远程代码执行漏洞

漏洞类型：远程代码执行

风险等级：重要

漏洞描述：VMware Workspace ONE Access 和 Identity Manager存在一个远程代码执行漏洞，具有管理员和网络访问权限的攻击者可以触发远程代码执行。

5.CVE-2022-31660、CVE-2022-31661、CVE-2022-31664 本地权限提升漏洞

漏洞类型：本地权限提升

风险等级：重要

漏洞描述：VMware Workspace ONE Access、Identity Manager 和 vRealize Automation 存在权限提升漏洞，具有本地访问权限的攻击者可以将权限提升到“root”。

6.CVE-2022-31662 路径遍历漏洞

漏洞类型：路径遍历漏洞

风险等级：中危

漏洞描述：VMware Workspace ONE Access、Identity Manager、Connectors 和 vRealize Automation 存在路径遍历漏洞，具有网络访问权限的恶意行为者可能能够访问任意文件。

7.CVE-2022-31663 跨站点脚本 (XSS) 漏洞

漏洞类型：xss

风险等级：中危

漏洞描述：VMware Workspace ONE Access、Identity Manager 和 vRealize Automation存在一个反射型的跨站点脚本 (XSS) 漏洞，由于不正确的用户输入清理，具有某些用户交互的攻击者可能能够在目标用户的窗口中注入javascript代码。

8.CVE-2022-31665 JDBC 注入远程代码执行漏洞

漏洞类型：远程代码执行

风险等级：重要

漏洞描述：VMware Workspace ONE Access、Identity Manager 和 vRealize Automation存在一个远程代码执行漏洞，具有管理员和网络访问权限的恶意行为者可以触发远程代码执行。

影响版本：

• VMware Workspace ONE Access(Access) == 21.08.0.0、21.08.0.1
• VMware Identity Manager(vIDM) == 3.3.4、3.3.5、3.3.6
• VMware Workspace ONE Access Connector(Access Connector) == 21.08.0.0、21.08.0.1、22.05
• VMware Identity Manager Connector(vIDM Connector) == 3.3.4、3.3.6、19.03.0.1
• VMware vRealize Automation(vRA) == 7.6
• VMware Cloud Foundation (v(vRA)IDM) == 4.2.x、4.3.x、4.4.x
• vRealize Suite Lifecycle Manager (vIDM) == 8.x
• VMware Cloud Foundation (vRA) == 3.x

修复建议：

Vmware官方已经发布了解决上述漏洞的安全修复补丁程序，建议受影响参考官方通告的修复步骤进行修复，修复链接：https://www.vmware.com/security/advisories/VMSA-2022-0021.html