【安全公告】VMware多个漏洞通告

  • A+
所属分类:安全漏洞

漏洞名称 VMware多个漏洞通告

组件名称 : VMware vRealize Operations Manager

安全公告链接

https://www.vmware.com/security/advisories/VMSA-2021-0018.html


漏洞分析


组件介绍

    vRealize Operations Manager是VMware 官方提供的针对VMware虚拟化平台的一套运维管理解决方案。


2 漏洞简介

    2021年8月24日,深信服安全团队监测到VMware官方发布安全更新的通告,共修复了6个安全漏洞,其中包含4个高危漏洞的信息。

序号

漏洞名称

漏洞编号

严重

等级

影响版本

1


vRealize Operations Manager API 中的服务器端请求伪造漏洞


CVE-2021-22027

高危

vRealize Operations Manager8.4.0


vRealize Operations Manager8.3.0


vRealize Operations Manager8.2.0


vRealize Operations Manager8.1.1、8.1.0


vRealize Operations Manager8.0.1、8.0.0


vRealize Operations Manager7.5.0


VMware Cloud Foundation (vROps)4.x


VMware Cloud Foundation (vROps)3.x


vRealize Suite Lifecycle Manager (vROps)8.x

2


vRealize Operations Manager API 中的服务器端请求伪造漏洞


CVE-2021-22026

高危

3


vRealize Operations Manager API 中的访问控制中断漏洞


CVE-2021-22025

高危

4


vRealize Operations Manager API 中的任意日志文件读取漏洞


CVE-2021-22024

高危

5


vRealize Operations Manager API 中的不安全直接对象引用漏洞


CVE-2021-22023

中危

6


vRealize Operations Manager API 中的任意文件读取漏洞


CVE-2021-22022

中危


3 高危漏洞描述

CVE-2021-22027:vRealize Operations Manager API 中的服务器端请求伪造漏洞

    该漏洞是由于vRealize Operations Manager API存在服务器请求伪造漏洞,攻击者可利用该漏洞在未授权的情况下,构造恶意数据执行服务器请求伪造攻击,最终可造成服务器敏感性信息泄露。


CVE-2021-22026:vRealize Operations Manager API 中的服务器端请求伪造漏洞

    该漏洞是由于vRealize Operations Manager API存在服务器请求伪造漏洞,攻击者可利用该漏洞在未授权的情况下,构造恶意数据执行服务器请求伪造攻击,最终可造成服务器敏感性信息泄露。


CVE-2021-22025:vRealize Operations Manager API 中的访问控制中断漏洞

    该漏洞是由于vRealize Operations Manager API存在访问控制漏洞,攻击者可利用该漏洞在未授权的情况下,构造恶意数据执行越权访问攻击,最终可以控制vROps 群集添加节点。


CVE-2021-22024:vRealize Operations Manager API 中的任意日志文件读取漏洞

    该漏洞是由于vRealize Operations Manager API存在日志文件读取漏洞,攻击者可利用该漏洞在未授权的情况下,构造恶意数据执行日志文件读取攻击,最终可造成服务器敏感性信息泄露。


影响范围

 


    vRealize Operations Manager资产分布世界各地,主要集中在美国、中国、新加坡等国家,国内主要分布在北京、上海、江苏等省市。


    目前受影响的vRealize Operations Manager版本:

vRealize Operations Manager 8.4.0

vRealize Operations Manager 8.3.0

vRealize Operations Manager 8.2.0

vRealize Operations Manager 8.1.1、8.1.0

vRealize Operations Manager 8.0.1、8.0.0

vRealize Operations Manager 7.5.0

VMware Cloud Foundation (vROps) 4.x

VMware Cloud Foundation (vROps) 3.x

vRealize Suite Lifecycle Manager (vROps) 8.x


解决方案


1 官方修复建议

    当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://www.vmware.com/security/advisories/VMSA-2021-0018.html


时间轴


2021/8/24    深信服监测到VMware官方发布安全更新公告。

2021/8/26    深信服千里目安全实验室发布漏洞通告。


参考链接


https://www.vmware.com/security/advisories/VMSA-2021-0018.html



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【安全公告】VMware多个漏洞通告


深信服千里目安全实验室

【安全公告】VMware多个漏洞通告

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们


本文始发于微信公众号(深信服千里目安全实验室):【安全公告】VMware多个漏洞通告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: