安(ān)全通告—亚信安(ān)全—护航产(chǎn)业互联安(ān)全数字世界

漏洞描述：

近日，亚信安(ān)全应急响应中(zhōng)心监测到VMware官方发布了VMware vCenter Server遠(yuǎn)程代码执行漏洞（CVE-2021-21985）、VMware vCenter Server 插件权限绕过漏洞（CVE-2021-21986）的安(ān)全公(gōng)告。其中(zhōng)VMware vCenter Server遠(yuǎn)程代码执行漏洞（CVE-2021-21985）漏洞等级：严重，漏洞评分(fēn)：9.8。

攻击者可(kě)通过vCenter中(zhōng)的默认开启的Virtual SAN Health Check插件构造恶意请求在目标机器上执行任意代码，并控制目标主机。攻击复杂度低，所需条件少。

VMware vCenter Server是VMware虚拟化管理(lǐ)平台，广泛的应用(yòng)于企业私有(yǒu)云内网中(zhōng)。通过使用(yòng)vCenter，管理(lǐ)员可(kě)以轻松的管理(lǐ)上百台虚拟化环境，同时也意味着当其被攻击者控制后会造成私有(yǒu)云大量虚拟化环境将被攻击者控制。

目前，VMware已发布安(ān)全补丁，亚信安(ān)全应急响应中(zhōng)心提醒 VMware 用(yòng)户尽快采取安(ān)全措施阻止漏洞攻击。

漏洞等级：

CVE-2021-21985：

VMware vCenter Server 遠(yuǎn)程代码漏洞，严重，CVSS评分(fēn)9.8

CVE-2021-21986：

VMware vCenter Server 插件权限绕过漏洞，中(zhōng)危，CVSS评分(fēn)6.5

受影响的版本：

VMware vCenter Server 7.0系列 < 7.0.U2b

VMware vCenter Server 6.7系列 < 6.7.U3n

VMware vCenter Server 6.5系列 < 6.5 U3p

VMware Cloud Foundation 4.x 系列 < 4.2.1

VMware Cloud Foundation 4.x 系列 < 3.10.2.1

安(ān)全版本：

VMware vCenter Server 7.0.U2b

VMware vCenter Server 6.7.U3n

VMware vCenter Server 6.5 U3p

VMware Cloud Foundation 4.2.1

VMware Cloud Foundation 3.10.2.1

漏洞修复建议：

VMware已发布了补丁来修补这两个漏洞，并建议采取安(ān)全措施阻止漏洞攻击，尤其是CVE-2021-21985。

升级為(wèi)对应的修复版本：https://www.vmware.com/security/advisories/VMSA-2021-0010.html

使用(yòng)临时修补方案：https://kb.vmware.com/s/article/83829

【参考链接】

https://www.vmware.com/security/advisories/VMSA-2021-0010.html

https://kb.vmware.com/s/article/83829

https://blogs.vmware.com/vsphere/2021/05/vmsa-2021-0010.html

产(chǎn)品全景图 >

安(ān)全服務(wù) >

安(ān)全运营 >

首页(yè)

产(chǎn)品与服務(wù)

云安(ān)全

终端安(ān)全

数据安(ān)全

身份安(ān)全

高级威胁治理(lǐ)

网络与通信安(ān)全

安(ān)全管理(lǐ)

SaaS服務(wù)

一體(tǐ)化智能(néng)安(ān)全运营平台

网络管理(lǐ)

信息技(jì )术应用(yòng)创新(xīn)

工(gōng)业安(ān)全

解决方案与案例

客户支持

合作(zuò)共赢

安(ān)全通告

C3安(ān)全大会

投资者关系

关于我们

安(ān)全通告