漏洞风险提示 | VMware 多个高危漏洞

CVE-2021-21972 VMware vCenter Server 远程代码执行漏洞

CVE-2021-21974 ESXi OpenSLP 堆溢出漏洞

CVE-2021-21973 VMware vCenter Server SSRF 漏洞

由于 vCenter Server 插件对 URL 校验不足，导致 vSphere Client（HTML5）存在 SSRF（服务器端请求伪造）漏洞。远程且未经过授权的攻击者可通过 443 端口来进行 SSRF 漏洞的利用。

• VMware ESXi 6.5 系列 < ESXi650-202102101-SG

• VMware vCenter Server 7.0 系列 < 7.0.U1c

• VMware vCenter Server 6.7 系列 < 6.7.U3l

• VMware vCenter Server 6.5 系列 < 6.5 U3n

• VMware ESXi 7.0 系列 < ESXi70U1c-17325551

• VMware ESXi 6.7 系列 < ESXi670-202102401-SG

将 vCenter Server 或者 ESXi 升级到以下安全版本：

• VMware vCenter Server 7.0.U1c

• VMware vCenter Server 6.7.U3l

• VMware vCenter Server 6.5 U3n

• VMware ESXi ESXi70U1c-17325551

• VMware ESXi ESXi670-202102401-SG

• VMware ESXi ESXi650-202102101-SG

如若无法进行安全更新，则可参考官方给出的缓解方案采取相应的防御措施：

VMware vCenter Server CVE-2021-21972、CVE-2021-21973 漏洞的缓解方案：
https://kb.vmware.com/s/article/82374

VMware ESXi CVE-2021-21974 漏洞的缓解方案：

https://kb.vmware.com/s/article/76372