VMware устранила три критические уязвимости в Workspace ONE Assist

VMware устранила три критические уязвимости в Workspace ONE Assist

Компания VMware обновила Workspace ONE Assist, закрыв пять уязвимостей в Windows-приложении, которое айтишники в компаниях используют для дистанционного поиска и устранения неполадок на конечных устройствах.

Три решенные проблемы (с CVE-2022-31685 по CVE-2022-31687) позволяют без аутентификации повысить привилегии до уровня админа и оценены как критические — в 9,8 балла из 10 возможных по шкале CVSS. Эксплойт во всех случаях требует лишь сетевого доступа к Workspace ONE Assist.

В бюллетене VMware эти уязвимости характеризуются следующим образом:

  • CVE-2022-31685 — возможность обхода аутентификации;
  • CVE-2022-31686 — несовершенство процедуры проверки подлинности;
  • CVE-2022-31687 — слабый контроль доступа.

Остальные дыры не столь опасны. Уязвимость CVE-2022-31688 (6,4 балла CVSS) представляет собой возможность межсайтого скриптинга (XSS), возникшую из-за неадекватной санации пользовательского ввода. Эксплойт требует взаимодействия с пользователем и позволяет внедрить произвольный JavaScript-код в текущее окно.

Проблема CVE-2022-31689 (фиксация сессии, 4,2 балла) вызвана некорректной обработкой сеансовых идентификаторов. При наличии действительного токена проблема позволяет успешно пройти аутентификацию и получить доступ к приложению.

Уязвимости подвержены Workspace ONE Assist версий 21.x и 22.x; патчи включены в состав обновления 22.10. Альтернативных способов защиты от эксплойта пользователям не предлагают.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Москву прилетели китайские специалисты по киберугрозам

В столицу прибыла группа из 40 китайских кибербезопасников. Речь может идти о совместной подготовке полной блокировки YouTube в России. Часть технологий предоставит армия Китая, остальное “заземлят” на российских и белорусских разработках.

О делегации специалистов из Китая пишет “Октагон.Медиа”. Визит подтверждает возможные договоренности между разведками стран по итогам визита Си Цзиньпина в Москву.

По информации интернет-издания, речь может идти о подготовке дорожной карты полной блокировки YouTube. Китайский “десант” будет помогать с анализом и технической стороной проекта.

Часть технологий от комплекса “великий китайский файрвол” предоставит Народно-освободительная армия Китая, остальное будет базироваться на российских и белорусских разработках, пишут журналисты.

По некоторым сведениям, блокировка YouTube будет возможна уже в IV квартале 2023 года.

Кроме того, китайские специалисты по киберугрозам помогут коллегам с блокировкой всех типов VPN.

По данным “Октагон.Медиа”, пилотный проект могут делегировать “Ростелекому”. В случае успеха полномочия блокировать VPN раздадут всем российским частным и полугосударственным провайдерам.

Добавим, российские власти последовательно отрицают возможность блокировки YouTube в стране. Последний раз комментарии пришлось давать в январе этого года после спорных заявлений бывшего руководителя Роскомнадзора, а ныне главы “Газпром-медиа” Александра Жарова и основателя ЧВК “Вагнер” Евгения Пригожина.

А на этой неделе журнал Forbes написал о том, что VK договаривается с крупными операторами об установке кэширующих серверов на их сетях, чтобы ускорить загрузку видеоконтента у пользователей. Эксперты считают, что своя CDN позволит VK подготовиться к скачку трафика в случае отключения YouTube.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru