用户应立即修补
研究人员警告说，移动设备管理软件中的安全漏洞可以使攻击者访问组织的内部和云网络。
由AssetNote发现，服务器端请求伪造（SSRF）在VMware Workspace One UEM中找到错误。
跟踪为CVE-2021-22054，漏洞可能会冒险依靠凭证和其他敏感数据落入恶意攻击者手中。
研究人员写道：“我们发现了一个预验证的脆弱性，使我们能够提出任意的HTTP请求，包括使用任何HTTP方法和请求机构的请求。”博客文章。
“为了利用此SSRF，我们必须对VMware Workspace One UEM使用的加密算法进行反向设计。”
团队能够违反“许多”组织使用该软件，访问其内部网络和云服务。
不要错过Virustotal揭露了Google拥有的防病毒服务中严重脆弱性的主张
讲话每日swbeplay2018官网igAssetnote的Subham Shah说：“尽管我无法分享有关受到哪些公司的确切细节，但有许多企业容易受到影响。
“在某些情况下，有可能利用这种脆弱性来违反公司的AWS帐户。”
Shah补充说：“这种漏洞的影响是对正在运行软件的组织，而不是使用产品的单个用户。
“使用SSRF漏洞，可以在内部网络上接触任意主机。在云诸如AWS之类的网络可以到达元数据IP地址并可能窃取安全凭据。
“使用这些安全凭据，可以升级漏洞，以访问属于公司的其他基础架构。”
补救措施
该问题于2021年11月首次发现，此后由供应商修补。
Shah说，尽管VMware“及时地”处理了这些问题，但研究人员同意供应商的请求，要求更多时间发布更多的补丁程序，并允许客户在披露之前修补其实例。
一个VMware的咨询包含软件修复程序的详细信息。
Shah向移动管理设备软件的用户提供建议，“如果可能的话，请勿将MDM解决方案公开到外部Internet上”。
你可能也会喜欢IBM数据库更新第三方XML解析器中的关键漏洞地址
