VMware (mehrere Produkte): Rechteausweitung (CVE-2022-22960)

Was ist betroffen, was ist zu tun

VMware Workspace ONE Access, Identity Manager und vRealize Automation enthalten eine Schwachstelle für die Erhöhung von Berechtigungen aufgrund unzureichender Berechtigungen in Support-Skripten. Ein böswilliger Akteur mit lokalem Zugriff kann seine Berechtigungen auf 'root' erhöhen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie cloud_foundation auf Version 5.0, vrealize_suite_lifecycle_manager auf Version 9.0. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• VMware Workspace ONE Access, Identity Manager and vRealize Automation eq Access 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0. Identity Manager 3.3.6, 3.3.5, 3.3.4, 3.3.3. vRealize Automation 7.6...Access 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0. Identity Manager 3.3.6, 3.3.5, 3.3.4, 3.3.3. vRealize Automation 7.6.

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme der betroffenen Appliances: VMware Workspace ONE Access (20.10.0.0, 20.10.0.1, 21.08.0.0, 21.08.0.1), VMware Identity Manager (3.3.3–3.3.6), vRealize Automation 7.6 sowie über VMware Cloud Foundation (3.x bis vor 5.0) und vRealize Suite Lifecycle Manager (8.x bis vor 9.0) mitinstallierte Instanzen. Eingebettete vIDM-Instanzen in VCF/vRSLCM-Umgebungen werden häufig übersehen.
   • Herstellerpatch einspielen: Patch verfügbar beim Hersteller — Version bitte im VMware Security Advisory zu CVE-2022-22960 nachschlagen. Laut Kontext ist der Fix in VMware Cloud Foundation 5.0 und vRealize Suite Lifecycle Manager 9.0 enthalten. Für Access, Identity Manager und vRA 7.6 bitte die Patch-/Hotfix-Angaben direkt im Advisory prüfen.
   • Gekoppelte RCE mitbehandeln: CVE-2022-22960 wird in der Praxis mit der Remote-Code-Execution CVE-2022-22954 (Server-Side Template Injection im selben Produkt) verkettet. Diese liefert den lokalen Zugriff als Benutzer horizon, CVE-2022-22960 eskaliert anschließend zu root. Beide Schwachstellen sind gemeinsam zu patchen.
   • Internetexponierte Instanzen sofort einschränken: Ist der Patch nicht innerhalb weniger Stunden einspielbar, den Zugriff auf die Weboberfläche (TCP 443) aus dem Internet über die Perimeter-Firewall bzw. den Reverse Proxy sperren oder auf bekannte Quellnetze begrenzen.
   • Kompromittierungsprüfung vor dem Patchen: Seit der Exponierung sind die Appliances als potenziell kompromittiert zu behandeln. Vor dem Patch einen Snapshot bzw. Forensik-Abzug anlegen (Logs, /usr/local/horizon/scripts/, Webroot, /tmp). Ein Patch entfernt keine bereits platzierten Webshells oder Persistenzmechanismen.
   • Anmeldedaten rotieren: Bei Kompromittierungsverdacht lokale Root-/SSH-Passwörter, Service-Accounts, AD-Bind-Konten sowie SAML-/OAuth-Signierschlüssel und Zertifikate des Identity Providers erneuern. Ein kompromittierter IdP erlaubt das Fälschen von Anmeldungen an allen angebundenen Anwendungen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: Workspace ONE Access/vIDM in eine dedizierte Management- bzw. DMZ-Zone legen. Ausgehende Verbindungen der Appliance auf notwendige Ziele beschränken (AD/LDAP, DNS, NTP, Konnektoren) und alle anderen Egress-Verbindungen verweigern. Damit werden Reverse Shells, das Nachladen von Tools und Command-and-Control-Verkehr nach der Rechteausweitung unterbunden.
   • WAF/IPS gegen die Einstiegskette: Da CVE-2022-22960 einen lokalen Zugriff voraussetzt, an der vorgelagerten Ausnutzung von CVE-2022-22954 ansetzen. Requests auf /catalog-portal/ui/oauth/verify und /catalog-portal/ui mit Template-Ausdrücken (freemarker, ${, ?new(), Execute) in Parametern wie deviceUdid oder error blockieren. Herstellerspezifische Signaturen von Suricata, Snort oder Palo Alto für CVE-2022-22954 aktivieren.
   • Härtung des Endpunkts: Die Ursache sind fehlerhafte Berechtigungen auf Support-Skripten, die der Benutzer horizon per sudo als root ausführen darf. Bis zum Patch /etc/sudoers und /etc/sudoers.d/ auf Einträge für horizon prüfen. Eigentümer und Rechte von /usr/local/horizon/scripts/*.hzn kontrollieren: Sie dürfen weder für horizon schreibbar noch per Symlink manipulierbar sein. Änderungen nur nach Herstellerangaben vornehmen, um die Supportfähigkeit zu erhalten.
   • Identitäts- und Berechtigungsmanagement: SSH-Zugang zur Appliance deaktivieren oder auf ein Jump-Host-Netz beschränken. Lokale Konten minimieren. Administrative Konsolen nur über privilegierte Zugriffsarbeitsplätze (PAW) mit MFA erreichbar machen.
   • Überwachung angebundener Systeme: SAML-Relying-Parties und Anwendungen hinter dem IdP auf ungewöhnliche Sitzungen prüfen. Die Kompromittierung des IdP ist ein Ausgangspunkt für Lateral Movement in Cloud- und SaaS-Dienste.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • auditd / sudo-Logs: sudo-Aufrufe durch den Benutzer horizon auf Skripte unter /usr/local/horizon/scripts/ (z. B. publishCaCert.hzn, gatherConfig.hzn) außerhalb regulärer Wartungsfenster. Empfohlene Regel: -w /usr/local/horizon/scripts/ -p wa -k vidm_scripts. Ein Schreibzugriff durch einen anderen Benutzer als root ist hochgradig verdächtig.
   • Prozessabstammung (EDR/auditd execve): java (Tomcat, Benutzer horizon) → sh/bash → sudo → Skript bzw. Shell mit euid=0. Als Sigma-Form: ParentImage|endswith: '/java' AND Image|endswith: ['/bash','/sh','/sudo'] AND User: 'horizon'. Zusätzlich auf neu erzeugte SUID-Binaries oder Root-Shells in /tmp und /var/tmp achten.
   • Dateiintegrität: Neue oder geänderte .jsp-Dateien unterhalb der Tomcat-Webapps der Appliance (Webshell-Persistenz). Außerdem Änderungen an /etc/passwd, /etc/shadow, /etc/sudoers, ~root/.ssh/authorized_keys und an Cronjobs.
   • Webserver-/Proxy-Logs (Einstiegskette): Requests auf /catalog-portal/ui/oauth/verify mit freemarker, ${ oder URL-kodierten Varianten (%24%7B). Beispiel in SPL: index=proxy uri_path="/catalog-portal/ui*" (uri_query="*freemarker*" OR uri_query="*%24%7B*").
   • Netzwerktelemetrie (Zeek/Suricata): Ausgehende Verbindungen der vIDM-Appliance zu unbekannten externen Zielen, insbesondere Downloads per curl/wget (HTTP-User-Agent in http.log) sowie langlebige Verbindungen auf untypischen Ports.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

VMware Workspace ONE Access, Identity Manager und vRealize Automation enthalten eine Schwachstelle für die Erhöhung von Berechtigungen aufgrund unzureichender Berechtigungen in Support-Skripten. Ein böswilliger Akteur mit lokalem Zugriff kann seine Berechtigungen auf 'root' erhöhen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• VMware VMware Cloud Foundation
• VMware Identity Manager
• VMware VMware vRealize Automation
• VMware Vrealize Suite Lifecycle Manager
• VMware VMware Workspace ONE Access

Weakness-Klassen (CWE)

• CWE-732Incorrect Permission Assignment for Critical Resource

  Class

  The product specifies permissions for a security-critical resource in a way that allows that resource to be read or modified by unintended actors.

  Eintrag bei MITRE CWE-732

Quellen & Referenzen

• vmware.comsecurity/advisories/VMSA-2022-0011.htmlPatch, Herstellerhinweis
• packetstormsecurity.comfiles/171918/Mware-Workspace-ONE-Remote-Code-Execution.htmlExploit, Hinweis Dritter, Schwachstellendatenbank
• packetstormsecurity.comfiles/171918/VMware-Workspace-ONE-Remote-Code-Execution.htmlExploit, Hinweis Dritter, Schwachstellendatenbank
• packetstormsecurity.comfiles/171935/VMware-Workspace-ONE-Access-Privilege-Escalation.h…Exploit, Hinweis Dritter, Schwachstellendatenbank
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22960government-resource, US-Behörde