VMware устранила три критические уязвимости в Workspace ONE Assist

VMware устранила три критические уязвимости в Workspace ONE Assist

VMware устранила три критические уязвимости в Workspace ONE Assist

Компания VMware обновила Workspace ONE Assist, закрыв пять уязвимостей в Windows-приложении, которое айтишники в компаниях используют для дистанционного поиска и устранения неполадок на конечных устройствах.

Три решенные проблемы (с CVE-2022-31685 по CVE-2022-31687) позволяют без аутентификации повысить привилегии до уровня админа и оценены как критические — в 9,8 балла из 10 возможных по шкале CVSS. Эксплойт во всех случаях требует лишь сетевого доступа к Workspace ONE Assist.

В бюллетене VMware эти уязвимости характеризуются следующим образом:

  • CVE-2022-31685 — возможность обхода аутентификации;
  • CVE-2022-31686 — несовершенство процедуры проверки подлинности;
  • CVE-2022-31687 — слабый контроль доступа.

Остальные дыры не столь опасны. Уязвимость CVE-2022-31688 (6,4 балла CVSS) представляет собой возможность межсайтого скриптинга (XSS), возникшую из-за неадекватной санации пользовательского ввода. Эксплойт требует взаимодействия с пользователем и позволяет внедрить произвольный JavaScript-код в текущее окно.

Проблема CVE-2022-31689 (фиксация сессии, 4,2 балла) вызвана некорректной обработкой сеансовых идентификаторов. При наличии действительного токена проблема позволяет успешно пройти аутентификацию и получить доступ к приложению.

Уязвимости подвержены Workspace ONE Assist версий 21.x и 22.x; патчи включены в состав обновления 22.10. Альтернативных способов защиты от эксплойта пользователям не предлагают.

Подпишитесь на новости

Подросток месяцами обсуждал суицид с ИИ Google, школьная защита запоздала

Школьный ноутбук, ИИ в поисковике и система мониторинга — внушительный набор технологий, который всё равно не обеспечил своевременную помощь ребёнку. Родители 13-летней девочки из Северной Каролины подали иск против Google и Alphabet. Они утверждают, что общение с ИИ через школьный Chromebook способствовало развитию у дочери суицидального кризиса.

Как рассказывает WIRED, девочка месяцами обсуждала с ИИ депрессию и самоубийство.

Школьная система мониторинга неделями не поднимала тревогу. Когда уведомление наконец появилось, оно попало бывшему школьному консультанту, который переслал его действующим сотрудникам. После этого вмешалась мать.

По данным Reuters, родители узнали о происходящем после того, как защитное ПО пометило документ с планами похорон. В иске также утверждается, что бот помогал девочке скрывать своё состояние от близких.

По мнению родителей, Google встроила ИИ в привычные продукты, не предупредив школы и семьи о рисках.

Google заявила, что изучает иск. Корпорация добра подчёркивает, что работала с медицинскими специалистами и экспертами над защитными функциями, которые должны направлять молодых пользователей к реальной помощи.

RSS: Новости на портале Anti-Malware.ru