VMware Workspace ONE UEM 控制台 SSRF (VMSA-2021-0029)

high Nessus 插件 ID 156361

简介

远程 Web 服务器受到一个服务器端请求伪造漏洞的影响。

描述

根据其自我报告的版本,远程主机上运行的 Workspace ONE UEM 控制台为 20.8.0.36 之前的 2008、20.11.0.40 之前的 2011、21.2.0.27 之前的 2102 或 21.5.0.37 之前的 2105。因此,该数据库受到服务器端请求伪造漏洞的影响。此问题可能允许具有 UEM 网络访问权限的恶意攻击者在未经身份验证的情况下发送请求,并获得敏感信息的访问权限。

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

升级到 Workspace ONE UEM 控制台 20.8.0.36、20.11.0.40、21.2.0.27、21.5.0.37 或更高版本。

另见

https://www.vmware.com/security/advisories/VMSA-2021-0029.html

https://kb.vmware.com/s/article/87167

插件详情

严重性: High

ID: 156361

文件名: vmware_workspace_one_uem_vmsa-2021-0029.nasl

版本: 1.4

类型: remote

系列: Web Servers

发布时间: 2021/12/29

最近更新时间: 2022/4/11

配置: 启用偏执模式, 启用全面检查

支持的传感器: Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2021-22054

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:vmware:airwatch, cpe:/a:vmware:workspace_one

必需的 KB 项: installed_sw/AirWatch Console, Settings/ParanoidReport

易利用性: No known exploits are available

补丁发布日期: 2021/12/16

漏洞发布日期: 2021/12/16

参考资料信息

CVE: CVE-2021-22054

IAVA: 2021-A-0601