VMware vSphere Server远程代码执行缝隙（CVE-2021-21972）

颁布功夫 2021-02-24

0x00 缝隙概述

CVE  ID

CVE-2021-21972

时  间

2021-02-24

类  型

RCE

等  级

严沉

远程利用

是

影响领域


 

0x01 缝隙详情

image.png

 

VMware vCenter Server是高级服务器治理软件 ，其提供了一个集中式平台来节造的VMware vSphere 环境 ，使用户可能在整个混合云中自动部署并交付虚构基础架构。

2021年02月23日 ，Vmware颁布了vCenter Server安全更新 ，建复了vSphere Client (HTML5) 在vCenter Server插件vRealize Operations（vROps）中的一个远程代码执行缝隙（CVE-2021-21972） ，其CVSS评分为9.8。可能接见网络端口443的攻击者能够通过利用此缝隙在托管vCenter Server的操作系统上以不受限度的权限执行号令。此表 ，由于受影响的插件存在于所有默认装置中 ，鉴于此缝隙的严沉性 ，VMware强烈建议用户尽快升级。

此表 ，VMware还建复了VMware ESXi中一个沉要的堆溢露马脚（CVE-2021-21974） ，其CVSS评分8.8。成功利用此缝隙的攻击者可能在受影响的设备上远程执行肆意代码。

2020年4月 ，VMware解决了另一个严沉的vCenter Server缝隙 ，该缝隙可能使攻击者可能接见敏感信息 ，并可能节造受影响的系统。

 

影响领域

vCenter Server 6.5

vCenter Server 6.7

vCenter Server 7.0

 

0x02 措置建议

目前该缝隙已经建复 ，建议参考下表实时升级。

影响版本

建复版本

参考链接（一时建复）

vCenter Server 6.5

6.5 U3n

https://kb.vmware.com/s/article/82374

vCenter Server 6.7

6.7 U3l

vCenter Server 7.0

7.0 U1c

 

下载链接：

vCenter Server 6.5 U3n

https://docs.vmware.com/en/VMware-vSphere/6.5/rn/vsphere-vcenter-server-65u3n-release-notes.html

 

vCenter Server 6.7 U3l

https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3l-release-notes.html

 

vCenter Server 7.0 U1c

https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u1c-release-notes.html

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0002.html

https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-rce-bug-in-all-default-vcenter-installs/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21972

 

0x04 功夫线

2021-02-23  Vmware颁布安全更新

2021-02-24  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png