【漏洞公告】

近日，VMware官方发布安全公告，修复了多个VMware vRealize Operations高危漏洞，其中包括权限提升漏洞（CVE-2022-31672）、信息泄露漏洞（CVE-2022-31674） 和身份验证绕过漏洞 （CVE-2022-31675）。攻击者可通过组合利用这些漏洞最终实现身份验证绕过，以管理员权限在目标服务器上执行任意命令，从而获得服务器权限。目前漏洞细节己公开，官方已发布新版本修复了此漏洞，建议受影响用户及时升级更新到安全版本。

参考链接：

https://www.vmware.com/security/advisories/VMSA-2022-0022.html

VMware历史安全漏洞公告参考：

https://www.vmware.com/security/advisories.html

【影响范围】

受影响版本：VMware vRealize Operations 8.x < 8.6.4

安全版本：VMware vRealize Operations >= 8.6.4

【漏洞描述】

权限提升漏洞（CVE-2022-31672）:VMware vRealize Operations Manager generateSupportBundle.py 脚本中存在漏洞，由于允许攻击者指定用于构造路径的VCOPS_BASE环境变量从而导致权限提升。

信息泄露漏洞（CVE-2022-31674）:VMware vRealize Operations中存在敏感信息泄露漏洞，Pak manager将敏感密码写入日志文件，具有低权限的恶意攻击者可以通过访问该日志文件，获取敏感信息。

身份验证绕过漏洞（CVE-2022-31675）：VMware vRealize Operations MainPortalFilter类中存在身份验证绕过漏洞，这允许具有有效仪表链接ID的攻击者绕过身份验证。

【缓解措施】

高危：目前漏洞细节和利用代码已公开，官方已发布相关安全版本，建议部署相关产品的用户及时测试并更新，建议部署相关产品的用户及时测试并升级到漏洞修复的版本。

处置建议：

1.升级至VMware vRealize Operations 8.6.4及以上版本，下载链接：

https://customerconnect.vmware.com/en/downloads/info/slug/infrastructure_operations_management/vmware_vrealize_operations/8_6

2.利用安全组功能设置VMware vRealize Operations仅对可信地址开放。