安全通告
VMware服務端模板注入漏洞安全風險通告
發(fā)布日期：2022-4-15
漏洞描述
近日，監(jiān)測到一則 VMware 部分組件存在模板注入漏洞的信息，漏洞編號：CVE-2022-22954。組件介紹：VMware Workspace ONE Access是VMware公司開發(fā)的一款智能驅(qū)動型數(shù)字化工作空間平臺，通過Workspace ONE Access能夠隨時隨地在任意設備上輕松、安全地交付和管理任意應用。VMware vRealize Automation 是自動化部署方案云管平臺。VMware Cloud Foundation是VMware公司混合云平臺。vRealize Suite Lifecycle Manager是vRealize Suite生命周期和內(nèi)容管理平臺。以上是組件的介紹。VMware部分組件存在模板注入漏洞，遠程攻擊者利用該漏洞發(fā)送特制的HTTP請求，并執(zhí)行服務器端模板注入從而導致遠程代碼執(zhí)行。
漏洞危害
攻擊者可利用該漏洞進行服務器端模板注入從而導致遠程代碼執(zhí)行。
漏洞等級
高危
受影響的產(chǎn)品及版本
VMware Workspace ONE Access : 21.08.0.1，21.08.0.0，20.10.0.1，20.10.0.0
VMware Identity Manager : 3.3.6，3.3.5，3.3.4，3.3.3
VMware Cloud Foundation : 4.x
vRealize Suite Lifecycle Manager : 8.x
修復方案
根據(jù)影響版本中的信息，排查并升級到對應產(chǎn)品的最新版本。
修復建議
當前官方已發(fā)布最新版本，建議受影響的用戶及時升級到最新版本。鏈接如下:
https://kb.vmware.com/s/article/88099
參考鏈接
- https://www.vmware.com/security/advisories/VMSA-2022-0011.html