-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in VMware vRealize
                  Operations
Advisory ID     : NCSC-2022-0524
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2022-31672, CVE-2022-31673, CVE-2022-31674,
                  CVE-2022-31675
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Omzeilen van authenticatie
                  (Remote) code execution (Administrator/Root rechten)
                  Toegang tot gevoelige gegevens
                  Verhoogde gebruikersrechten
Uitgiftedatum   : 20220810
Toepassing      : VMware vRealize
Versie(s)       : < 8.6.4
Platform(s)     :

Beschrijving
   Er zijn kwetsbaarheden verholpen in VMware vRealize Operations. De
   kwetsbaarheden stellen een kwaadwillende in staat aanvallen uit te
   voeren die leiden tot de volgende categorieën schade:

   * Omzeilen van authenticatie
   * (Remote) code execution (Administrator/Root rechten)
   * Toegang tot gevoelige gegevens
   * Verhoogde gebruikersrechten

   De door VMware verholpen kwetsbaarheden in vRealize Operations
   kunnen mogelijk achtereenvolgens worden misbruikt waardoor een
   ongeauthenticeerde kwaadwillende root-rechten kan verkrijgen.

   Een kwaadwillende kan met toegang tot een vRealize dashboard middels
   kwetsbaarheid met kenmerk CVE-2022-31675 een account met
   administrator rechten aanmaken. Vervolgens kan de kwaadwillende
   uiteindelijk de rechten van dit account verhogen tot root via de
   kwetsbaarheid met kenmerk CVE-2022-31672. Deze kwetsbaarheid is door
   VMware als hoogste ingeschaald met een CVSS3-score van 7.2.

   Voor misbruik van deze kwetsbaarheden is het vereist dat een
   kwaadwillende toegang heeft tot een vRealize Operations dashboard
   interface. Ondanks dat vRealize verschillende mogelijkheden biedt om
   dashboards breed te delen, is het raadzaam om het delen van
   dashboards zoveel mogelijk te beperken om misbruik van deze
   kwetsbaarheden te voorkomen.

   Voor de kwetsbaarheden in vRealize Operations is er gedetailleerde
   informatie met exploit-code publiek beschikbaar. Het klemmende
   advies is om op korte termijn de beschikbaar gestelde
   beveiligingsupdates te installeren.

Mogelijke oplossingen
   VMware heeft updates uitgebracht om de kwetsbaarheden te verhelpen.
   Meer informatie kunt u vinden op onderstaande pagina:

   https://www.vmware.com/security/advisories/VMSA-2022-0022.html


Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=B+qm
-----END PGP SIGNATURE-----