VMware 修复了三个身份认证绕过漏洞

Bleeping Computer 网站披露，VMware 近期发布了安全更新，以解决 Workspace ONE Assist解决方案中的三个严重漏洞，分别追踪为 CVE-2022-31685（认证绕过）、CVE-2022-31686 （认证方法失败）和CVE-2022-31687（认证控制失败）。据悉，这些漏洞允许远程攻击者绕过身份验证并提升管理员权限。

Workspace ONE Assist 可以提供远程控制、屏幕共享、文件系统管理和远程命令执行，以帮助服务后台和 IT 人员从 Workspace ONE 控制台实时远程访问设备并排除故障。

未经身份认证的威胁攻击者可以在不需要用户交互进行权限升级的低复杂度攻击中利用这些漏洞。从 VMware 发布的声明来看，一旦具有 Workspace ONE Assist 网络访问权限的恶意攻击者成功利用这些漏洞，无需对应用程序进行身份验证就可以获得管理访问权限。

漏洞现已修复加粗样式

目前，VMware为Windows 已经为客户发布了 Workspace ONE Assist 22.10（89993），对这些漏洞进行了修补。

此外，VMware还修补了一个反射式跨站脚本（XSS）漏洞（CVE-2022-31688）以及一个会话固定漏洞（CVE-2022-31689），前者允许攻击者在目标用户的窗口中注入 javascript 代码，后者允许攻击者获得有效会话令牌后进行身份验证。

值得一提的是，Workspace
ONE Assist 22.10 版本修补的所有漏洞都是由 REQON IT-Security的Jasper Westerman、Jan van der
Put、Yanick de Pater 和 Harm Blankers 发现并报告给 VMware 的。

VMware 修复了多个安全漏洞

今年 8 月，VMware 警告管理员要修补 VMware Workspace ONE Access、Identity Manager 和 vRealize Automation 中另外一个关键身份认证绕过安全漏洞，该漏洞允许未经认证的攻击者获得管理权限。

同年 5 月，Mware 修补了一个几乎相同的关键漏洞，该漏洞是 Innotec Security的Bruno López 在 Workspace ONE Access、VMware Identity Manager（vIDM）和vRealize Automation中发现的另一个身份验证绕过漏洞（CVE-222-22972）。

参考文章：

https://www.bleepingcomputer.com/news/security/vmware-fixes-three-critical-
auth-bypass-bugs-in-remote-access-tool/

资料分享

最后，给大家分享一波网络安全学习资料：

我们作为一个小白想转行网络安全岗位，或者是有一定基础想进一步深化学习，却发现不知从何下手。其实如何选择网络安全学习方向，如何进行实战与理论的结合并不难，找准正确方式很重要。

接下来我将从成长路线开始一步步带大家揭开网安的神秘面纱。

1.成长路线图

共可以分为：

一、基础阶段

二、渗透阶段

三、安全管理

四、提升阶段

同时每个成长路线对应的板块都有配套的视频提供：

网络安全面试题

最后就是大家最关心的网络安全面试题板块

所有资料共87.9G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方CSDN官方合作二维码免费领取（如遇扫码问题，可以在评论区留言领取哦）~