CVE-2022-22972

POC für CVE-2022-22972, das VMware Workspace ONE, vIDM und vRealize Automation 7.6 betrifft.

Technische Analyse

Eine technische Grundursachenanalyse der Schwachstelle finden Sie in unserem Blog: https://www.horizon3.ai/vmware-authentication-bypass-vulnerability-cve-2022-22972-technical-deep-dive

Zusammenfassung

Dieses Skript kann verwendet werden, um die Authentifizierung bei vRealize Automation 7.6 unter Verwendung von CVE-2022-22972 zu umgehen. Workspace ONE und vIDM haben unterschiedliche Authentifizierungsendpunkte, aber der Kern der Schwachstelle bleibt derselbe. Wir freuen uns über Pull-Requests, falls Sie Testartikel haben, um den Ablauf zu verifizieren.

Dieses Skript funktioniert, indem es den Host-Header einer HTTP-POST-Anfrage eines VMware-Authentifizierungsendpunkts auf einen vom Angreifer kontrollierten Host ändert. Dadurch wird die VMware-Anwendung veranlasst, sich mit Anmeldeinformationen an den Host zu wenden, und wenn der Host 200 zurückgibt, wird der Benutzer erfolgreich authentifiziert.

Dieses Skript erzeugt ein HZN-Cookie, das in späteren Anfragen verwendet werden kann, um Aktionen als der kompromittierte Benutzer auszuführen.

HINWEIS: Die Standardargumente des Skripts senden die Authentifizierungsanfrage an unser AWS-API-Gateway, das so konfiguriert ist, dass es für den im Blog erwähnten spezifischen Endpunkt mit 200 antwortet. Sie können dies mit der Option --host ändern. Dieser Endpunkt empfängt während des Exploit-Ablaufs keine sensiblen Daten - nur eine Anfrage von der anfälligen Anwendung mit dem gefälschten Authentifizierungs-Header, auf die er antwortet.