VMware đã triển khai các bản vá để giải quyết lỗ hổng bảo mật quan trọng trong vCenter Server có thể được tận dụng bởi kẻ thù để thực thi mã tùy ý trên máy chủ.
Được theo dõi là CVE-2021-21985 (điểm CVSS 9.8), sự cố bắt nguồn từ việc thiếu xác thực đầu vào trong trình cắm kiểm tra sức khỏe Virtual SAN(vSAN),được bật theo mặc định trong máy chủ vCenter. "Một tác nhân độc hại có quyền truy cập mạng vào cổng 443 có thể khai thác vấn đề này để thực hiện các lệnh với các đặc quyền không hạn chế trên hệ điều hành cơ bản lưu trữ vCenter Server," VMware cho biết trong tư vấn của mình.
VMware vCenter Server là một tiện ích quản lý máy chủ được sử dụng để điều khiển máy ảo, máy chủ ESXi và các thành phần phụ thuộc khác từ một vị trí tập trung duy nhất. Lỗ hổng ảnh hưởng đến vCenter Server phiên bản 6.5, 6.7 và 7.0 và Cloud Foundation phiên bản 3.x và 4.x. VMware ghi nhận Ricter Z của 360 Noah Lab để báo cáo lỗ hổng bảo mật.
Bản vá cũng khắc phục sự cố xác thực trong máy khách vSphere ảnh hưởng đến kiểm tra sức khỏe SAN ảo, khôi phục trang web, quản lý vòng đời vSphere và VMware Cloud Director sẵn sàng plug-ins (CVE-2021-21986, điểm CVSS: 6.5), do đó cho phép kẻ tấn công thực hiện các hành động được cho phép bởi các trình cắm mà không cần bất kỳ xác thực.
Trong khi VMware đang khuyến nghị khách hàng áp dụng "thay đổi khẩn cấp",công ty đã công bố một giải pháp để đặt các trình cắm là không tương thích. "Việc vô hiệu hóa các trình cắm này sẽ dẫn đến mất khả năng quản lý và giám sát được cung cấp bởi các trình cắm,", công ty lưu ý.
"Các tổ chức đã đặt Máy chủ vCenter của họ trên các mạng có thể truy cập trực tiếp từ Internet [...] nên kiểm toán hệ thống của họ để thỏa hiệp," VMware nói thêm. Họ cũng nên thực hiện các bước để thực hiện nhiều kiểm soát bảo mật chu vi hơn (tường lửa, ACLs, v.v.) trên các giao diện quản lý của cơ sở hạ tầng của họ.
CVE-2021-21985 là lỗ hổng quan trọng thứ hai mà VMware đã khắc phục trong máy chủ vCenter. Đầu tháng 2 này, nó đã giải quyết lỗ hổng thực thi mã từ xa trong trình cắm vCenter Server (CVE-2021-21972) có thể bị lạm dụng để chạy các lệnh với đặc quyền không hạn chế trên hệ điều hành cơ bản lưu trữ máy chủ.
Các bản sửa lỗi cho các lỗi vCenter cũng được đưa ra sau khi công ty vá một lỗi thực thi mã từ xa quan trọng khác trong VMware vRealize Business for Cloud (CVE-2021-21984, điểm CVSS: 9.8) do điểm cuối trái phép có thể bị khai thác bởi một tác nhân độc hại có quyền truy cập mạng để chạy mã tùy ý trên thiết bị.
Trước đó, VMware đã tung ra các bản Cập Nhật để khắc phục nhiều lỗi trong VMware Carbon Black Cloud Khối lượng công việc và vRealize Operations Manager giải pháp.
Đăng nhận xét
Đăng nhận xét