VMware建复多个安全缝隙风险公告

颁布功夫 2020-01-17

缝隙编号和级别


CVE编号：CVE-2020-3941，，，，，，危险级别：高危，，，，，，CVSS分值：厂商自评：7.8，，，，，，官方未评定

CVE编号：CVE-2020-3940，，，，，，危险级别：中危，，，，，，CVSS分值：厂商自评：6.8，，，，，，官方未评定


影响版本


CVE-2020-3941

VMware Tools for Windows 10.x.y


CVE-2020-3940

Workspace ONE SDK

Workspace ONE Boxer

Workspace ONE Content

Workspace ONE SDK Plugin for Apache Cordova

Workspace ONE Intelligent Hub

Workspace ONE Notebook

Workspace ONE People

Workspace ONE PIV-D

Workspace ONE Web

Workspace ONE SDK Plugin for Xamarin


缝隙概述


VMware已颁布安全更新，，，，，，建复了VMware Tools和Workspace ONE SDK中的缝隙。。。。。。。。


VMware建复了Windows VMware Tools版本10.xy中的本地提权缝隙（CVE-2020-3941）。。。。。。。。该缝隙被归类为竞争前提缝隙，，，，，，攻击者可能利用此缝隙在虚构机中提升特权。。。。。。。。


VMware还建复了Workspace ONE SDK中的信息泄露缝隙（CVE-2020-3940），，，，，，该缝隙影响了有关的iOS和Android APP。。。。。。。。凭据安全布告，，，，，，若是启用了SSL Pinning，，，，，，则在受影响的移动APP和Workspace ONE UEM设备服务之间的中央人（MITM）攻击者可能捕获传输中的敏感数据。。。。。。。。


缝隙验证


暂无POC/EXP。。。。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，，补丁获取链接见参考链接。。。。。。。。


参考链接


https://www.vmware.com/security/advisories/VMSA-2020-0002.html

https://www.vmware.com/security/advisories/VMSA-2020-0001.html