VMware产品多个高危漏洞安全风险通告


1#漏洞简述
近日,VMware官方发布多个关于vCenter Server、ESXi的风险通告,其中包括CVE-2021-21972(VMware vCenter Server远程代码执行漏洞)和CVE-2021-21974(VMware ESXi堆溢出漏洞)两个高危漏洞,目前官方已有可更新版本。鉴于漏洞危害较大,建议用户及时安装更新补丁。

2#漏洞详细信息
  • CVE-2021-21972(VMware vCenter Server远程代码执行漏洞
vSphere Client(HTML5)在vCenter Server插件中存在一个远程执行代码漏洞。未授权的攻击者可以通过开放 443 端口的服务器向 vCenter Server 发送精心构造的请求,从而在服务器上写入webshell,最终造成远程任意代码执行。
  • CVE-2021-21974(VMware ESXi堆溢出漏洞
当在OpenSLP服务中处理数据包时,由于边界错误,本地网络上的远程非身份验证攻击者可以将伪造的数据包发送到端口427/tcp,触发基于堆的缓冲区溢出,并在目标系统上执行任意代码。

漏洞详细信息可查看以下链接:
https://www.vmware.com/security/advisories/VMSA-2021-0002.html
3#所受影响产品
  • CVE-2021-21972(VMware vCenter Server远程代码执行漏洞)
VMware:vcenter_server 7.0 U1c 之前的 7.0 版本
VMware:vcenter_server 6.7 U3l 之前的 6.7 版本
VMware:vcenter_server 6.5 U3n 之前的 6.5 版本
  • CVE-2021-21974(VMware ESXi堆溢出漏洞)
VMware:ESXi70U1c-17325551 之前的 7.0 版本
VMware:ESXi670-202102401-SG 之前的 6.7 版本
VMware:ESXi650-202102101-SG 之前的 6.5 版本
4#漏洞修复
  • CVE-2021-21972(VMware vCenter Server远程代码执行漏洞)解决方法如下:
将系统升级到安全版本:
vCenter Server 7.0 版本升级到 7.0.U1c
vCenter Server 6.7 版本升级到 6.7.U3l
vCenter Server 6.5 版本升级到 6.5 U3n
或者使用紧急暂时措施:
第一步,通过SSH连接到vCSA(或远程桌面连接到Windows VC)
第二步,备份以下文件:
Linux系统文件路径:/etc/vmware/vsphere-ui/compatibility-matrix.xml (vCSA)
Windows系统文件路径:C:\ProgramData\VMware\vCenterServer\cfg\vsphere-ui (Windows VC)
第三步,使用文本编辑器插入以下内容:
<Matrix>
<pluginsCompatibility>
 . . . . 
 . . . . 
<PluginPackageid="com.vmware.vrops.install"status="incompatible"/>

</pluginsCompatibility>
</Matrix>
将文件内容修改为下图所示:

第四步,使用 vmon-cli -r vsphere-ui 命令重启vsphere-ui服务
第五步,通过访问https://<VC-IP-or-FQDN>/ui/vropspluginui/rest/services/checkmobregister地址,可以看到显示404错误

第六步,在vSphere Client的 Solutions->Client Plugins 中VMWare vROPS插件显示为incompatible

  • CVE-2021-21974(VMware ESXi堆溢出漏洞)解决方法如下:
将系统升级到安全版本:
ESXi 7.0 版本升级到 ESXi70U1c-17325551
ESXi 6.7 版本升级到 ESXi670-202102401-SG
ESXi 6.5 版本升级到 ESXi650-202102101-SG

以上解决方法参考以下链接:
https://kb.vmware.com/s/article/82374
本博客所有文章如无特别注明均为原创。作者:渊龙Sec团队复制或转载请以超链接形式注明转自 渊龙Sec团队博客
原文地址《VMware产品多个高危漏洞安全风险通告
分享到:更多

相关推荐

发表评论

路人甲 表情
看不清楚?点图切换 Ctrl+Enter快速提交

网友评论(0)