【误差通告】VMware vCenter Server恣意文件读取误差 (CVE-2021-21980)

宣布时间 2021-11-25

 

0x00 误差概述

CVE     ID

CVE-2021-21980

时      间

2021-11-23

类      型

恣意文件读取

等      级

高危

远程使用

是

影响规模


攻击重漂后

低

可用性

无

用户交互

 无

所需权限

无

PoC/EXP


在野使用


 

0x01 误差详情

image.png

2021年11月23日，，，VMware宣布vCenter Server 清静更新，，，修复了vSphere Web Client 中的一个恣意文件读取误差 (CVE-2021-21980)，，，该误差的CVSS评分为7.5。。。。。。

该误差保存于vSphere Web Client（FLEX/Flash）中，，，能够会见vCenter Server 上的 443 端口的攻击者可以使用此误差在未授权的情形下读取恣意文件并获取敏感信息。。。。。。

别的，，，VMware还修复了vSphere Web Client 中的 一个SSRF 误差 (CVE-2021-22049)，，，该误差的CVSS评分为6.5。。。。。。能够会见 vCenter Server 上的 443 端口的攻击者可以通过使用此误差会见vCenter Server 外部的 URL 请求或会见内部效劳。。。。。。

 

影响规模

vCenter Server 6.7

vCenter Server 6.5

Cloud Foundation (vCenter Server) 3.x

 

0x02 处置惩罚建议

现在这些误差已经修复，，，建议实时升级更新到以下版本：

vCenter Server 6.7 U3p

下载链接：

https://customerconnect.vmware.com/en/downloads/details?downloadGroup=VC67U3P&productId=742&rPId=78421

vCenter Server 6.5 U3r

下载链接：

https://customerconnect.vmware.com/downloads/details?downloadGroup=VC65U3R&productId=614&rPId=74057

注重：vCenter Server vSphere Web Client (FLEX/Flash)在vCenter Server 7.x中不可用，，，因此vCenter Server 7.x中不保存这些误差。。。。。。别的，，，VMware暂未宣布Cloud Foundation (vCenter Server) 3.x的补丁。。。。。。


0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0027.html

https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3p-release-notes.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21980

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-11-25

首次宣布

 

0x05 关于万利国际官网

万利国际官网简介

万利国际官网公司建设于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是海内最具实力的信息清静产品和清静治理平台、清静效劳与解决计划的领航企业之一。。。。。。

公司总部位于北京市中关村软件园，，，在天下各省、市、自治区设立分支机构六十多个，，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统；；；；；并在华北、华东、西南和华南结构四大研发中心，，，划分为北京研发总部、上海研发中心、成都研发中心和广州研发中心。。。。。。

多年来，，，万利国际官网致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。


关于万利国际官网

万利国际官网清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。

关注以下公众号，，，获取全球最新清静资讯：

image.png