VMware đ&atilde; tiết lộ bộ ba lỗ hổng nghi&ecirc;m trọng trong Workspace ONE Assist d&agrave;nh cho Windows &ndash; một sản phẩm được sử dụng bởi bộ phận CNTT v&agrave; hỗ trợ nh&acirc;n vi&ecirc;n văn ph&ograve;ng tiếp quản v&agrave; quản l&yacute; thiết bị của nh&acirc;n vi&ecirc;n từ xa.
C&aacute;c lỗ hổng đều được xếp hạng 9,8/10 về mức độ nghi&ecirc;m trọng của CVSS. Kẻ gian tiếp cận triển khai Workspace ONE Assist, qua internet hoặc tr&ecirc;n mạng, c&oacute; thể khai th&aacute;c bất kỳ lỗ hổng n&agrave;o trong ba lỗ hổng n&agrave;y để c&oacute; quyền truy cập quản trị m&agrave; kh&ocirc;ng cần x&aacute;c thực. Tại thời điểm đ&oacute;, kẻ x&acirc;m nhập hoặc kẻ lừa đảo l&agrave;m nội gi&aacute;n c&oacute; thể li&ecirc;n hệ với người d&ugrave;ng để l&agrave;m bất kỳ điều g&igrave;, chẳng hạn như gi&agrave;nh quyền kiểm so&aacute;t thiết bị.
Tất cả đều c&oacute; thể xảy ra v&igrave; m&atilde; x&aacute;c thực của Workspace ONE Assist dường như đ&atilde; bị hỏng.
Nguy&ecirc;n nh&acirc;n lad fo một trong c&aacute;c lỗ hổng (CVE-2022-31685) cho ph&eacute;p kẻ tấn c&ocirc;ng bỏ qua x&aacute;c thực. CVE-2022-31686 được m&ocirc; tả l&agrave; "phương ph&aacute;p x&aacute;c thực bị hỏng" v&agrave; kiểm so&aacute;t truy cập bị hỏng l&agrave; vấn đề được n&ecirc;u chi tiết trong CVE-2022-31687.
Workspace ONE Assist bị d&iacute;nh lỗ hổng tập lệnh ch&eacute;o trang được xếp hạng 6,4 (CVE-2022-31688), lỗ hổng n&agrave;y &ndash; do thay đổi đầu v&agrave;o của người d&ugrave;ng kh&ocirc;ng đ&uacute;ng c&aacute;ch &ndash; c&oacute; thể bị khai th&aacute;c, với một số tương t&aacute;c của người d&ugrave;ng, để ch&egrave;n v&agrave; chạy code JavaScript độc hại trong cửa sổ của nạn nh&acirc;n.
Ngo&agrave;i ra c&ograve;n c&oacute; CVE-2022-31689 &ndash; một lỗ hổng được xếp hạng 4,2 cho ph&eacute;p kẻ độc hại c&oacute; được token phi&ecirc;n hợp lệ để x&aacute;c thực ứng dụng bằng token đ&oacute;.
Những lỗ hổng n&agrave;y &aacute;p dụng cho c&aacute;c phi&ecirc;n bản 21.x v&agrave; 22.x của Workspace ONE Assist. Phi&ecirc;n bản 21.x đ&atilde; ra mắt v&agrave;o đầu năm 2021, trong khi d&ograve;ng 22.x xuất hiện v&agrave;o th&aacute;ng 3 năm 2022.
Phi&ecirc;n bản 22.10 đ&atilde; xử l&yacute; c&aacute;c lỗ hổng kể tr&ecirc;n, th&ecirc;m một v&agrave;i t&iacute;nh năng v&agrave; giải quyết một số vấn đề kh&aacute;c.
Jasper Westerman, Jan van der Put, Yanick de Pater v&agrave; Harm Blankers của REQON IT-Security đ&atilde; được VMware đ&aacute;nh gi&aacute; cao v&igrave; đ&atilde; ph&aacute;t hiện v&agrave; b&aacute;o c&aacute;o c&aacute;c điểm yếu bảo mật.
Một tin vui hơn cho Virtzilla, c&ocirc;ng ty đ&atilde; th&ocirc;ng b&aacute;o c&aacute;c sản phẩm đ&aacute;m m&acirc;y hiện đ&atilde; c&oacute; sẵn th&ocirc;ng qua nền tảng GreenLake ITaaS của HPE, cộng với một phi&ecirc;n bản &ldquo;an to&agrave;n hơn&rdquo; của bộ c&ocirc;ng cụ l&agrave;m việc kết hợp Anywhere Workspace.

Admin

VMware cảnh báo ba lỗ hổng nghiêm trọng trong công cụ điều khiển từ xa

Cùng tác giả

Admin

Có liên quan