BDU:2022-02031: Уязвимость платформы администрирования приложений VMware Workspace ONE Access, платформы виртуализации VMware Cloud Foundation, средства управления виртуальной инфраструктурой VMware vRealize Automation, программного средства управления жизненным циклом приложений vRealize Suite Lifecycle Manager и консоли администрирования VMware Identity Manager (vIDM), связанная с недостаточной проверкой источника HTTP-запроса, позволяющая нарушителю осуществить CSRF-атаки
Детали уязвимости BDU:2022-02031
Описание
Уязвимость платформы администрирования приложений VMware Workspace ONE Access, платформы виртуализации VMware Cloud Foundation, средства управления виртуальной инфраструктурой VMware vRealize Automation, программного средства управления жизненным циклом приложений vRealize Suite Lifecycle Manager и консоли администрирования VMware Identity Manager (vIDM) связана с недостаточной проверкой источника HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить CSRF-атаки с помощью специально созданной веб-страницы
Что делать с BDU:2022-02031
Критическая уязвимость (CVSS 8.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.
⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:CCWE — тип уязвимости
CVE — международный идентификатор
Заставляет браузер жертвы отправить запрос от её имени без ведома. Приводит к несанкционированным действиям.
Как атакуют и что делать ▾
Сценарий атаки
Жертва авторизована на сайте. Атакующий подсовывает страницу с автоматической отправкой формы — браузер отправляет запрос с cookies жертвы.
Последствия
Несанкционированные действия от имени жертвы: перевод денег, смена пароля, удаление данных.
Рекомендации
Используйте CSRF-токены, проверяйте заголовок Origin/Referer, SameSite cookies.
Тактики и техники
Уязвимое ПО (8)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Broadcom Inc. | VMware Aria Automation | 7.6 | Не указана |
| Omnissa | Omnissa Workspace ONE Access Connector | 20.10.0.1 | Не указана |
| Omnissa | Omnissa Workspace ONE Access Connector | 21.08.0.1 | Не указана |
| Omnissa | Omnissa Workspace ONE Access Connector | 21.08.0.0 | Не указана |
| Omnissa | Omnissa Workspace ONE Access Connector | 20.10.0.0 | Не указана |
| Omnissa | Omnissa Workspace ONE Access | от 3.3.3 до 3.3.6 включительно | Не указана |
| Broadcom Inc. | VMware Aria Suite Lifecycle | до KB88099 | Не указана |
| Broadcom Inc. | VMware Cloud Foundation | до KB88099 | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://www.vmware.com/security/advisories/VMSA-2022-0011.html
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 8.8
Уточните SLA под вашу среду
Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Приоритетное устранение
Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2022-04-06
Опубликована
2022-04-08
Обновлена
2022-04-08
Эксплойт
Существует
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
BDU:2025-05727Уязвимость программного средства автоматизации VMware Aria Automation (ранее vRealize Automation), платформы виртуализац
BDU:2025-03164Уязвимость программного средства автоматизации VMware Aria Automation (ранее vRealize Automation) и платформы виртуализа
BDU:2024-00382Уязвимость платформы виртуализации VMware Cloud Foundation (ранее Aria Automation) и программного средства автоматизации
BDU:2023-03092Уязвимость платформы администрирования приложений VMware Workspace One Access, консоли администрирования VMware Identity
BDU:2023-00857Уязвимость платформы для автоматизации рабочих процессов VMware vRealize Orchestrator, средства управления виртуальной и
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.