VMware vá các lỗ hổng trên Workspace ONE Access

Workspace ONE Access (mô hình cung cấp không gian làm việc dưới dạng một dịch vụ) cung cấp tính năng xác thực đa yếu tố, đăng nhập một lần và truy nhập có điều kiện cho SaaS, các ứng dụng web và mobile.

Lỗ hổng này có tên là CVE-2020-4006, được phát hiện trong thời gian gần đây, đã được hạ từ mức nguy cấp xuống nghiêm trọng với số điểm CVSS từ 9,1 xuống 7,2.

Ban đầu, VMware không cung cấp thông tin về việc ai đã xác định được lỗ hổng bảo mật, nhưng ngay trong tuần công ty đã phát hành bản vá và tiết lộ rằng NSA đã phát hiện ra lỗ hổng. VMware cũng đã công bố những hướng dẫn để xử lý vấn đề này.

Vmware giải thích rằng: "Tội phạm mạng có quyền truy nhập vào cấu hình quản trị trên cổng 8443 và một mật khẩu hợp lệ cho tài khoản quản trị của cấu hình có thể thực thi các lệnh với những đặc quyền không bị hạn chế trên hệ điều hành cơ bản".

Công ty cũng nhấn mạnh rằng tài khoản quản trị cấu hình là tài khoảng nội bộ của các sản phẩm bị ảnh hưởng và mật khẩu của tài khoản này được thiết lập tại thời điểm triển khai. Tin tặc cần có mật khẩu thì mới có thể tấn công.

Lỗ hổng được phát hiện ảnh hưởng tới ONE Access, Access Connector, Identity Manager, Identity Manager Connector, Cloud Foundation và vRealize Suite Lifecycle Manager. Các bản vá đã được phát hành cho những sản phẩm bị ảnh hưởng trên cả Linux và Windows.