VMware vSphere Server远程代码执行误差（CVE-2021-21972）

宣布时间 2021-02-24

0x00 误差概述

CVE  ID

CVE-2021-21972

时  间

2021-02-24

类  型

RCE

等  级

严重

远程使用

是

影响规模


 

0x01 误差详情

image.png

 

VMware vCenter Server是高级效劳器治理软件，， ，，，，，其提供了一个集中式平台来控制的VMware vSphere 情形，， ，，，，，使用户能够在整个混淆云中自动安排并交付虚拟基础架构 。。。。。

2021年02月23日，， ，，，，，Vmware宣布了vCenter Server清静更新，， ，，，，，修复了vSphere Client (HTML5) 在vCenter Server插件vRealize Operations（vROps）中的一个远程代码执行误差（CVE-2021-21972），， ，，，，，其CVSS评分为9.8 。。。。。能够会见网络端口443的攻击者可以通过使用此误差在托管vCenter Server的操作系统上以不受限制的权限执行下令 。。。。。别的，， ，，，，，由于受影响的插件保存于所有默认装置中，， ，，，，，鉴于此误差的严重性，， ，，，，，VMware强烈建议用户尽快升级 。。。。。

别的，， ，，，，，VMware还修复了VMware ESXi中一个主要的堆溢出误差（CVE-2021-21974），， ，，，，，其CVSS评分8.8 。。。。。乐成使用此误差的攻击者能够在受影响的装备上远程执行恣意代码 。。。。。

2020年4月，， ，，，，，VMware解决了另一个严重的vCenter Server误差，， ，，，，，该误差可能使攻击者能够会见敏感信息，， ，，，，，并可能控制受影响的系统 。。。。。

 

影响规模

vCenter Server 6.5

vCenter Server 6.7

vCenter Server 7.0

 

0x02 处置惩罚建议

现在该误差已经修复，， ，，，，，建议参考下表实时升级 。。。。。

影响版本

修复版本

参考链接（暂时修复）

vCenter Server 6.5

6.5 U3n

https://kb.vmware.com/s/article/82374

vCenter Server 6.7

6.7 U3l

vCenter Server 7.0

7.0 U1c

 

下载链接：

vCenter Server 6.5 U3n

https://docs.vmware.com/en/VMware-vSphere/6.5/rn/vsphere-vcenter-server-65u3n-release-notes.html

 

vCenter Server 6.7 U3l

https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3l-release-notes.html

 

vCenter Server 7.0 U1c

https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u1c-release-notes.html

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0002.html

https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-rce-bug-in-all-default-vcenter-installs/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21972

 

0x04 时间线

2021-02-23  Vmware宣布清静更新

2021-02-24  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png