CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-22954

RCE w VMware Workspace ONE Access i Identity Manager poprzez server-side template injection

CVSS 9.8v3.1pub. 2022-04-11upd. 2025-10-30

VMware Workspace ONE Access oraz VMware Identity Manager zawierają krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) wynikającą z błędu server-side template injection. Podatność jest aktywnie wykorzystywana przez atakujących i nie wymaga żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

VMware Workspace ONE Access and Identity Manager contain a remote code execution vulnerability due to server-side template injection. A malicious actor with network access can trigger a server-side template injection that may result in remote code execution.

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp sieciowy do podatnego systemu może wysłać specjalnie spreparowane żądanie zawierające złośliwy payload w formie szablonu (template injection) po stronie serwera. Silnik szablonów przetwarza dane wejściowe bez odpowiedniej walidacji, co prowadzi do wykonania osadzonego kodu w kontekście aplikacji. W wyniku tego możliwe jest uruchomienie dowolnych poleceń systemowych na serwerze.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatnym systemem poprzez zdalne wykonanie dowolnego kodu (RCE), co może skutkować naruszeniem poufności, integralności i dostępności danych oraz infrastruktury. Ze względu na brak wymogu uwierzytelnienia i interakcji użytkownika, ryzyko kompromitacji jest wyjątkowo wysokie.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z oficjalnym doradztwem bezpieczeństwa VMware VMSA-2022-0011 dostępnym pod adresem https://www.vmware.com/security/advisories/VMSA-2022-0011.html. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu sieciowego do podatnych komponentów.

Kogo dotyczy

VMware Workspace ONE Access, VMware Identity Manager oraz VMware vRealize Automation — wersje wskazane w referencjach producenta (doradztwo bezpieczeństwa VMSA-2022-0011)

Uwagi

Podatność została umieszczona w katalogu CISA KEV (Known Exploited Vulnerabilities), co potwierdza jej aktywne wykorzystywanie. Publicznie dostępny exploit został opublikowany w serwisie Packet Storm Security.