VMware روز سه شنبه یک بولتن (bulletin )جدید در مورد 19 آسیب پذیری در vCenter Server و Cloud Foundation هشدار داد که یک مهاجم از راه دور می تواند از آن برای کنترل سیستم آسیب دیده استفاده کند.
فوری ترین آنها آسیب پذیری بارگذاری فایل در سرویس Analytics (CVE-2021-22005) است که بر استقرار vCenter Server 6.7 و 7.0 تأثیر می گذارد. این شرکت خاطرنشان کرد: “یک هکر مخرب با دسترسی به شبکه به پورت 443 در سرور vCenter ممکن است از این مسئله برای اجرای کد درServer vCenter با بارگذاری یک فایل خاص استفاده کند.” صرف نظر از تنظیمات پیکربندی server vCenter ، دسترسی به شبکه امکان پذیر است.
اگرچه VMware راهکارهایی برای این نقص منتشر کرده است،اما این شرکت هشدار داد که “این راه حل ها موقت هستند تا زمانی که به آن بروز رسانی قابل استفاده باشد.
لیست کامل اشکالات اصلاح شده توسط ارائه دهنده خدمات مجازی سازی به شرح زیر است:
- CVE-2021-22005(CVSS score: 9.8) – vCenter Server file upload vulnerability
- CVE-2021-21991(CVSS score: 8.8) – vCenter Server local privilege escalation vulnerability
- CVE-2021-22006(CVSS score: 8.3) – vCenter Server reverse proxy bypass vulnerability
- CVE-2021-22011(CVSS score: 8.1) – vCenter server unauthenticated API endpoint vulnerability
- CVE-2021-22015(CVSS score: 7.8) – vCenter Server improper permission local privilege escalation vulnerabilities
- CVE-2021-22012(CVSS score: 7.5) – vCenter Server unauthenticated API information disclosure vulnerability
- CVE-2021-22013(CVSS score: 7.5) – vCenter Server file path traversal vulnerability
- CVE-2021-22016(CVSS score: 7.5) – vCenter Server reflected XSS vulnerability
- CVE-2021-22017(CVSS score: 7.3) – vCenter Server rhttpproxy bypass vulnerability
- CVE-2021-22014(CVSS score: 7.2) – vCenter Server authenticated code execution vulnerability
- CVE-2021-22018(CVSS score: 6.5) – vCenter Server file deletion vulnerability
- CVE-2021-21992(CVSS score: 6.5) – vCenter Server XML parsing denial-of-service vulnerability
- CVE-2021-22007(CVSS score: 5.5) – vCenter Server local information disclosure vulnerability
- CVE-2021-22019(CVSS score: 5.3) – vCenter Server denial of service vulnerability
- CVE-2021-22009(CVSS score: 5.3) – vCenter Server VAPI multiple denial of service vulnerabilities
- CVE-2021-22010(CVSS score: 5.3) – vCenter Server VPXD denial of service vulnerability
- CVE-2021-22008(CVSS score: 5.3) – vCenter Server information disclosure vulnerability
- CVE-2021-22020(CVSS score: 5.0) – vCenter Server Analytics service denial-of-service vulnerability
- CVE-2021-21993(CVSS score: 4.3) – vCenter Server SSRF vulnerability
George Noseevich و Sergey Gerasimov از SolidLab LLC ، در کنار Hynek Petrak از Schneider Electric ، Yuval Lazar از Pentera ، و Osama Alaa از Malcrove ، معتقدند که اکثر نقص ها گزارش شده اند.
“با تهدید باج افزار ( (ransomware looming nowadayامن ترین موضع این است که فرض کنیم مهاجم ممکن است از قبل با استفاده از تکنیک هایی مانند phishing یا spear-phishing ، کنترل یک رایانه رومیزی و یک حساب کاربری را در دست داشته باشد و مطابق آن عمل کند. این بدان معناست که مهاجم ممکن است قبلاً قادر به دسترسی به سرور vCenter از داخل فایروال شرکت ها باشد و زمان آن مهم است. ”
با توجه به اینکه عواقب [CVE-2021-22005] جدی ومهم است VMware از مشتریان خواست تا بلافاصله vCenter خود را به روز کنند.