Vrealize Automation
Уязвимости
20
Эксплуатируемые
2
Макс. CVSS
9.8
Макс. EPSS
0.99997
Распределение по критичности
Критический
8
Высокий
6
Средний
6
Низкий
0
Затронутые диапазоны версий
7.0–7.17.0–7.2.08.0–8.11.18.0–8.68.0–9.0< 7.3.1< 7.4.0
Также сопоставлено как (исходные строки): vrealize_orchestrator,cloud_foundation,vrealize_suite_lifecycle_manager,vrealize_automation,workspace_one_access,identity_manager
Топ уязвимостей
CVE-2022-22972VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат уязвимость обхода аутентификации, затрагивающую пользователей локального домена. Злоумышленник с сетевым доступом к пользовательскому интерфейсу может получить административный доступ без необходимости аутентификации.
CVE-2022-22956VMware Workspace ONE Access имеет два уязвимости обхода аутентификации (CVE-2022-22955 и CVE-2022-22956) в фреймворке OAuth2 ACS. Злоумышленник может обойти механизм аутентификации и выполнять любые операции из-за открытых конечных точек в инфраструкутре аутентификации.
CVE-2022-22955VMware Workspace ONE Access имеет две уязвимости обхода аутентификации (CVE-2022-22955 и CVE-2022-22956) в фреймворке OAuth2 ACS. Злоумышленник может обойти механизм аутентификации и выполнить любую операцию из-за открытых конечных точек в фреймворке аутентификации.
CVE-2022-22954VMware Workspace ONE Access и Identity Manager содержат уязвимость удаленного выполнения кода из-за внедрения шаблонов на стороне сервера. Злоумышленник с сетевым доступом может вызвать внедрение шаблонов на стороне сервера, что может привести к удаленному выполнению кода.
CVE-2018-6959VMware vRealize Automation (vRA) до 7.4.0 содержит уязвимость в обработке идентификаторов сеансов. Эксплуатация этой проблемы может привести к перехвату сеанса действительного пользователя vRA.
CVE-2017-4947VMware vRealize Automation (7.3 и 7.2) и vSphere Integrated Containers (1.x до 1.3) содержат уязвимость десериализации через Xenon. Успешная эксплуатация этой проблемы может позволить удаленным злоумышленникам выполнить произвольный код на устройстве.
CVE-2016-5336VMware vRealize Automation 7.0.x до 7.1 позволяет удаленным злоумышленникам выполнять произвольный код через неуказанные векторы.
CVE-2016-7460Функция единого входа в VMware vCenter Server 5.5 до U3e и 6.0 до U2a и vRealize Automation 6.x до 6.2.5 позволяет удаленным злоумышленникам читать произвольные файлы или вызывать отказ в обслуживании через XML-документ, содержащий объявление внешней сущности в сочетании со ссылкой на сущность, что связано с проблемой XML External Entity (XXE).
CVE-2023-20855VMware vRealize Orchestrator содержит уязвимость XML External Entity (XXE). Злоумышленник, имеющий доступ к vRealize Orchestrator без прав администратора, может использовать специально созданные входные данные для обхода ограничений синтаксического анализа XML, что приведет к доступу к конфиденциальной информации или возможной эскалации привилегий.
CVE-2022-22960VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат уязвимость повышения привилегий из-за неправильных разрешений в скриптах поддержки. Злоумышленник с локальным доступом может повысить свои привилегии до 'root'.
CVE-2016-5335VMware Identity Manager 2.x до 2.7 и vRealize Automation 7.0.x до 7.1 позволяют локальным пользователям получать root-доступ через неуказанные векторы.
CVE-2021-22056VMware Workspace ONE Access 21.08, 20.10.0.1 и 20.10 и Identity Manager 3.3.5, 3.3.4 и 3.3.3 содержат уязвимость SSRF. Злоумышленник, имеющий сетевой доступ, может отправлять HTTP-запросы к произвольным источникам и читать полный ответ.
CVE-2022-22958VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат две уязвимости удаленного выполнения кода (CVE-2022-22957 и CVE-2022-22958). Злоумышленник с правами администратора может инициировать десериализацию ненадежных данных через вредоносный JDBC URI, что может привести к удаленному выполнению кода.
CVE-2022-22957VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат две уязвимости удаленного исполнения кода (CVE-2022-22957 и CVE-2022-22958). Злоумышленник с административным доступом может вызвать десериализацию недоверенных данных через злонамеренный JDBC URI, что может привести к удаленному исполнению кода.
CVE-2021-22036VMware vRealize Orchestrator ((8.x до 8.6) содержит уязвимость открытого перенаправления из-за неправильной обработки путей. Злоумышленник может перенаправить жертву на контролируемый злоумышленником домен из-за неправильной обработки путей в vRealize Orchestrator, что приведет к раскрытию конфиденциальной информации.
CVE-2018-6958VMware vRealize Automation (vRA) до 7.3.1 содержит уязвимость, которая может привести к межсайтовому скриптингу (XSS) на основе DOM. Эксплуатация этой проблемы может привести к компрометации рабочей станции пользователя vRA.
CVE-2015-2344Межсайтовый скриптинг (XSS) в VMware vRealize Automation 6.x до 6.2.4 в Linux позволяет удаленным аутентифицированным пользователям внедрять произвольный веб-скрипт или HTML через неуказанные векторы.
CVE-2022-22961VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат уязвимость раскрытия информации из-за возврата избыточной информации. Злоумышленник с удаленным доступом может раскрыть имя хоста целевой системы. Успешная эксплуатация этой уязвимости может привести к нацеливанию на жертв.
CVE-2016-5334VMware Identity Manager 2.x до 2.7.1 и vRealize Automation 7.x до 7.2.0 позволяют удаленным злоумышленникам читать файлы /SAAS/WEB-INF и /SAAS/META-INF через неуказанные векторы.
CVE-2022-22959VMware Workspace ONE Access, Identity Manager и vRealize Automation содержат уязвимость межсайтовой подделки запросов. Злоумышленник может обманом заставить пользователя через межсайтовую подделку запросов непреднамеренно проверить вредоносный JDBC URI.