VMware ha rilasciato delle patch per affrontare tre vulnerabilità critiche in Workspace ONE Assist, utilizzato dal personale IT e dall’help desk per gestire da remoto i dispositivi dei dipendenti. I bug consentivano agli aggressori di aggirare l’autenticazione ed elevare i privilegi al livello di amministratore.
Le vulnerabilità hanno ricevuto gli identificatori CVE-2022-31685, CVE-2022-31686 e CVE-2022-31687. Tutti i bug hanno ottenuto 9,8 di Severity (Critical) nella scala di valutazione della vulnerabilità CVSS.
Un utente malintenzionato che ha ottenuto l’accesso a Workspace ONE Assist (tramite Internet o su una rete aziendale) potrebbe utilizzare uno dei qualsiasi tre errori per ottenere l’accesso amministrativo senza autenticazione.
La CVE-2022-31685 è un errore di “Authentication Bypass vulnerability” che potrebbe essere utilizzato per ottenere l’accesso amministrativo (senza autenticazione dalla App). A sua volta, CVE-2022-31686 è descritta come una vulnerabilità di “Broken Authentication Method vulnerability” mentre la CVE-2022-31687 è descritta come una vulnerabilità di “Broken Access Control vulnerability”.
I bug sono stati corretti con il rilascio di Workspace ONE Assist 22.10 (89993) per gli utenti Windows.
Inoltre, in questa versione, VMware ha corretto una vulnerabilità XSS (la CVE-2022-31688) che poteva consentire agli aggressori di iniettare codice JavaScript nella finestra di un utente remoto e una vulnerabilità CVE-2022-31689 che poteva consentire l’autenticazione dopo aver ottenuto una sessione valida.
