VMware อัพเดทแพตซ์ใหม่ !!
แก้ไขช่องโหว่ผลิตภัณฑ์
9 สิงหาคม 2565
VMware ได้ออกแพตซ์เพื่อเป็นการอัพเดท และแก้ไขข้อบกพร่องต่อผลิตภัณฑ์ต่าง ๆ 10 รายการที่ถูกนำไปใช้ในทางที่ผิดและการดำเนินการที่เป็นอันตราย โดยผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์การใช้งาน
จากช่องโหว่ทั้ง 10 รายการตั้งแต่ CVE-2022-31656 ไปจนถึง CVE-2022-31665 ซึ่งได้รับคะแนน (CVSS: 4.7-9.8) ส่งผลกระทบต่อการใช้งาน VMware Workspace ONE Access, Workspace ONE Access Connector, Identity Manager, Identity Manager Connector, vRealize Automation, Cloud Foundation และ vRealize Suite Lifecycle Manager
ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2022-31656 ซึ่งได้รับคะแนน (CVSS: 9.8) ช่องโหว่นี้จะเกี่ยวข้องกับการ authentication bypass ซึ่งทำให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าใช้งานอยู่ในระดับ root ได้ และสามารถใช้ประโยชน์จากสิทธิ์ผู้ดูแลระบบได้
นอกจากนี้ VMware ได้แก้ไข 3 ช่องโหว่ที่เกี่ยวข้องกับการ remote code execution (CVE-2022-31658, CVE-2022-31659, CVE-2022-31665) ที่เกี่ยวข้องกับ JDBC และ SQL injection
ที่สามารถใช้โจมตี และเข้าถึงระบบเครือข่ายของผู้ใช้งานได้ ยังรวมถึงการแก้ไขช่องโหว่ cross-site scripting (XSS) CVE-2022-31663 เรื่องของผู้ใช้ไม่เหมาะสม อาจนำไปสู่การเปิดใช้งานโค้ดต่างๆที่เป็นอันตราย (JavaScript)
เรื่องของช่องโหว่ที่เกี่ยวกับการยกระดับสิทธิ์ local privilege (CVE-2022-31660, CVE-2022-31661 และ CVE-2022-31664) ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าใช้งานอยู่ในระดับ root ได้ เรื่องของช่องโหว่ URL Injection (CVE-2022-31657) และช่องโหว่ path traversal bug (CVE-2022-31662)
ช่องโหว่ (CVE-2022-31657) สามารถเปลี่ยนเส้นทางผู้ใช้ที่ได้รับการตรวจสอบสิทธิ์ไปยังโดเมนที่กำหนดไว้ตามต้องการ ในส่วนของช่องโหว่ (CVE-2022-31662) สามารถจัดเตรียมผู้โจมตีให้เข้าถึงไฟล์ต่างๆโดยไม่ได้รับอนุญาตได้
VMware ได้ออกมากล่าวว่ายังไม่ทราบถึงการใช้ประโยชน์ต่างๆ จากช่องโหว่เหล่านี้ แนะนำให้ผู้ใช้ทำการติดตั้งหรืออัพเดทแพตช์ที่พบปัญหาโดยทันที เพื่อเป็นการลดความเสี่ยงจากภัยคุกคามที่อาจจะเกิดขึ้น 
เกี่ยวกับไซเบอร์ตรอน
ผู้ให้บริการ #CyberResilience ศูนย์เฝ้าระวังภัยคุกคามด้านความมั่นคงปลอดภัยไซเบอร์รูปแบบใหม่ พร้อมโซลูชั่นเพื่อการพัฒนาความสามารถด้วยแพลตฟอร์มการจำลองยุทธ์ด้านความมั่นคงปลอดภัยไซเบอร์ อีกทั้งยังเป็นผู้นำการให้บริการนวัตกรรมด้านความมั่นคงปลอดภัยไซเบอร์ที่ล้ำสมัยในระดับสากล
บริการของเรา
