【误差通告】VMware vCenter Server信息泄露误差（CVE-2022-22948）

宣布时间 2022-03-30

0x00 误差概述

CVE   ID

CVE-2022-22948

时    间

2022-03-29

类    型

信息泄露

等    级

中危

远程使用

否

影响规模


攻击重漂后

低

用户交互

无

PoC/EXP


在野使用


 

0x01 误差详情

VMware vCenter Server 是一款高级效劳器治理软件，，，， ，，提供了一个集中式平台来控制 vSphere 情形，，，， ，，以实现跨混淆云的可见性。。。。。。。

３月29日，，，， ，，VMware宣布vCenter Server 清静更新，，，， ，，修复了vCenter Server和Cloud Foundation中的信息泄露误差（CVE-2022-22948），，，， ，，该误差的CVSSv3评分为5.5。。。。。。。

vCenter Server包括由于文件权限不准确而导致的信息泄露误差，，，， ，，可以使用此误差在对 vCenter Server 具有非治理员会见权限的情形下获取敏感信息。。。。。。。

 

0x02 清静建议

现在VMware已经宣布了此误差的清静更新，，，， ，，受影响用户可以参考下表实时更新至修复版本：

产品

受影响版本

运行平台

修复版本

下载链接

vCenter Server

7.0

Any

7.0 U3d

https://www.vmware.com/security/advisories/VMSA-2022-0009.html

6.7

Virtual Appliance

6.7 U3p

6.5

Virtual Appliance

6.5 U3r

Cloud Foundation (vCenter Server)

4.x

Any

暂无补丁

3.x

Any

3.11

注：vCenter Server for Windows 6.7、6.5不受此误差影响 ；；；；；；；；Cloud Foundation (vCenter Server) 4.x暂无补丁。。。。。。。

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2022-0009.html

https://customerconnect.vmware.com/downloads/details?downloadGroup=VC70U3D&productId=974&rPId=74352

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22948

 

0x04 版本信息

版本

日期

修改内容

V1.0

2022-03-30

首次宣布

 

0x05 附录

凯发k8简介

凯发k8公司建设于1996年，，，， ，，并于2010年6月23日在深交所中小板正式挂牌上市，，，， ，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。。。

公司总部位于北京市中关村软件园，，，， ，，在天下各省、市、自治区设有分支机构，，，， ，，拥有笼罩天下的渠道系统和手艺支持中心，，，， ，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。。。

多年来，，，， ，，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，， ，，资助客户周全提升其IT基础设施的清静性和生产效能，，，， ，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。。


关于凯发k8

凯发k8清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。。

关注以下公众号，，，， ，，获取全球最新清静资讯：

image.png