CVE-2022-22954
VMware Workspace ONE Access and Identity Manager Server-Side Template Injection Vulnerability
Beschreibung
CVE-2022-22954 ist eine kritische Server-Side-Template-Injection-Schwachstelle (SSTI) in VMware Workspace ONE Access und VMware Identity Manager, die unauthentifizierte Remote Code Execution ermöglicht. Die Schwachstelle erlaubt es einem Angreifer, ein speziell präpariertes Template in die serverseitige Template-Engine einzuschleusen, das anschließend ausgewertet und ausgeführt wird und dem Angreifer vollständige Kontrolle über das zugrunde liegende System gewährt. CISA hat die aktive Ausnutzung bestätigt, CVE-2022-22954 in den KEV-Katalog aufgenommen, und Ransomware-Betreiber nutzen diese Schwachstelle nachweislich aus. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 97,4 % (99,9. Perzentile) gehört diese Schwachstelle zu den gefährlichsten und am aktivsten angegriffenen Bedrohungen in der Enterprise-Identity-Management-Infrastruktur.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | identity manager | 3.3.3; 3.3.4; 3.3.5; 3.3.6 |
| vmware | vrealize automation | 7.6 |
| vmware | workspace one access | 20.10.0.0; 20.10.0.1; 21.08.0.0; 21.08.0.1 |
| vmware | cloud foundation | >= 4.0, <= 4.3.1 |
| vmware | vrealize suite lifecycle manager | >= 8.0, <= 8.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166935/VMware-Workspace-ONE-Access-Template-Injection-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2022-0011.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22954(US Government Resource)
Schwachstellentyp
CWE-1336: Improper Neutralization of Special Elements Used in a Template Engine
CWE-1336 beschreibt eine Schwachstelle, bei der Software eine Template-Engine zur Verarbeitung benutzergesteuerter Eingaben verwendet, aber spezielle Elemente oder Syntax, die die Engine als ausführbare Anweisungen interpretiert, nicht ordnungsgemäß neutralisiert. Bei CVE-2022-22954 verarbeitet die VMware-Workspace-ONE-Access- und Identity-Manager-Plattform angreifergesteuerte Eingaben durch eine serverseitige Template-Engine ohne ordnungsgemäße Bereinigung, was die Einschleusung von Template-Direktiven ermöglicht, die beliebigen Code auf dem Server ausführen.
Weitere Informationen: CWE-1336 — Improper Neutralization of Special Elements Used in a Template Engine
Auswirkungsanalyse
CVE-2022-22954 hat einen CVSS-Score von 9.8 (CRITICAL) und ist ohne Authentifizierung und Benutzerinteraktion aus der Ferne ausnutzbar, was die Schwachstelle trivial gegen jede exponierte VMware-Workspace-ONE-Access- oder Identity-Manager-Instanz einsetzbar macht. Die Auswirkung auf die Vertraulichkeit ist verheerend — Angreifer erhalten Zugriff auf die Konfiguration des Identity Providers, Benutzeranmeldedaten, SAML-Tokens und OAuth-Geheimnisse, was eine kaskadierende Kompromittierung aller föderierten Anwendungen ermöglicht. Die Integritätsauswirkung ist ebenso schwerwiegend, da Angreifer Authentifizierungsrichtlinien ändern, Backdoor-Konten erstellen oder gefälschte Authentifizierungstoken ausstellen können. Die Verfügbarkeit wird durch Ransomware-Einsatz, der als reales Ausnutzungsmuster bestätigt ist, oder durch Zerstörung der Identity-Plattform vollständig kompromittiert.
Exploit-Reifegrad
CVE-2022-22954 wird aktiv ausgenutzt, ist im CISA-KEV-Katalog gelistet und wird nachweislich von Ransomware-Betreibern eingesetzt, was sie zu einer der risikoreichsten Schwachstellen im VMware-Ökosystem macht. Der EPSS-Score von 97,4 % (99,9. Perzentile) steht für nahezu sichere Ausnutzung und spiegelt die breite Verfügbarkeit öffentlichen Exploit-Codes und aktiver Massen-Scanning-Kampagnen wider. Mehrere Bedrohungsakteure, darunter sowohl opportunistische Angreifer als auch APT-Gruppen, wurden innerhalb von Tagen nach der Veröffentlichung bei der Ausnutzung dokumentiert.
Behebung
- Pflichtmaßnahme laut CISA KEV: Installieren Sie die VMware-Sicherheitspatches gemäß VMware Security Advisory VMSA-2022-0011 für Workspace ONE Access und Identity Manager umgehend.
- Falls ein sofortiges Patching nicht möglich ist, wenden Sie den von VMware bereitgestellten Workaround an, um den verwundbaren Template-Verarbeitungs-Endpunkt zu deaktivieren.
- Überwachen Sie alle Workspace-ONE-Access- und Identity-Manager-Instanzen auf Kompromittierungsindikatoren, einschließlich unerwarteter Administratorkonten, modifizierter OAuth/SAML-Konfigurationen und anomaler ausgehender Netzwerkverbindungen.
- Überprüfen Sie Authentifizierungsprotokolle auf Hinweise auf Token-Fälschung, unautorisierten Zugriff auf föderierte Anwendungen und verdächtige Anmeldemuster.
- Rotieren Sie nach dem Patching alle SAML-Signierzertifikate, OAuth-Client-Secrets und Administratoranmeldedaten, da diese während eines früheren Ausnutzungsfensters exfiltriert worden sein könnten.
Technische Details
CVE-2022-22954 ist eine Server-Side-Template-Injection-Schwachstelle in VMware Workspace ONE Access und VMware Identity Manager, die durch unsachgemäße Verarbeitung benutzergesteuerter Eingaben in der serverseitigen Template-Engine entsteht. Der verwundbare Endpunkt verarbeitet HTTP-Anfrageparameter durch eine Template-Rendering-Pipeline, ohne templatespezifische Syntax zu bereinigen, was einem Angreifer die Einschleusung von Template-Direktiven ermöglicht, die vom Server ausgewertet und ausgeführt werden. Der eingeschleuste Template-Code läuft mit den Rechten des VMware-Dienstprozesses und ermöglicht beliebige Befehlsausführung auf dem zugrunde liegenden Betriebssystem. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt das schlimmstmögliche Ausnutzungsprofil.
Häufig gestellte Fragen
Wird CVE-2022-22954 aktiv ausgenutzt?
Ja. CVE-2022-22954 wird aktiv ausgenutzt und ist im CISA-KEV-Katalog mit bestätigter Ransomware-Nutzung gelistet. Der EPSS-Score von 97,4 % (99,9. Perzentile) reflektiert nahezu sichere Ausnutzung, und mehrere Bedrohungsakteurgruppen wurden bei der gezielten Ausnutzung beobachtet.
Welche Produkte sind von CVE-2022-22954 betroffen?
CVE-2022-22954 betrifft VMware Workspace ONE Access (ehemals VMware Identity Manager) und VMware Identity Manager. Diese Produkte dienen als Identity Provider und Single-Sign-On-Plattformen für Unternehmensanwendungen.
Wie behebe ich CVE-2022-22954?
Installieren Sie die Sicherheitspatches aus VMware Security Advisory VMSA-2022-0011 umgehend. Falls das Patching verzögert wird, implementieren Sie den empfohlenen Workaround von VMware. Rotieren Sie nach dem Patching alle SAML-Zertifikate, OAuth-Secrets und Administratoranmeldedaten.
Wie schwerwiegend ist CVE-2022-22954?
CVE-2022-22954 ist als CRITICAL mit einem CVSS-Score von 9.8 und einem EPSS-Score in der 99,9. Perzentile bewertet. Ransomware-Betreiber nutzen diese Schwachstelle aktiv aus. Als Identity-Provider-Schwachstelle kann eine erfolgreiche Ausnutzung kaskadierend alle föderierten Anwendungen und Dienste kompromittieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.