一、漏洞詳情

近日VMware官方發(fā)布安全公告，修復(fù)了多個(gè)VMware vRealize Operations高危漏洞，其中包括權(quán)限提升漏洞（CVE-2022-31672）、信息泄露漏洞（CVE-2022-31674）和身份驗(yàn)證繞過(guò)漏洞（CVE-2022-31675）。

權(quán)限提升漏洞 （CVE-2022-31672）：VMware vRealize Operations Manager generateSupportBundle.py 腳本中存在漏洞，由于允許攻擊者指定用于構(gòu)造路徑的VCOPS_BASE環(huán)境變量從而導(dǎo)致權(quán)限提升。

信息泄露漏洞 （CVE-2022-31674）：VMware vRealize Operations中存在敏感信息泄露漏洞，Pak manager將敏感密碼寫(xiě)入日志文件，具有低權(quán)限的惡意攻擊者可以通過(guò)訪(fǎng)問(wèn)該日志文件，獲取敏感信息。

身份驗(yàn)證繞過(guò)漏洞 （CVE-2022-31675）：VMware vRealize Operations MainPortalFilter類(lèi)中存在身份驗(yàn)證繞過(guò)漏洞，這允許具有有效儀表板鏈接ID的攻擊者繞過(guò)身份驗(yàn)證。

攻擊者可通過(guò)組合利用這些漏洞最終實(shí)現(xiàn)身份驗(yàn)證繞過(guò)，以管理員權(quán)限在目標(biāo)服務(wù)器上執(zhí)行任意命令，從而獲得服務(wù)器權(quán)限。目前漏洞細(xì)節(jié)已公開(kāi)，官方已發(fā)布新版本修復(fù)了此漏洞。

建議受影響用戶(hù)做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

二、影響范圍

VMware vRealize Operations 8.x < 8.6.4

三、修復(fù)建議

1.升級(jí)至VMware vRealize Operations 8.6.4及以上版本，下載鏈接:

https://customerconnect.vmware.com/en/downloads/info/slug/infrastructure_operations_management/vmware_vrealize_operations/8_6

2.利用安全組功能設(shè)置VMware vRealize Operations僅對(duì)可信地址開(kāi)放。