【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

admin

102340
文章

87
评论

2022年4月18日01:38:08评论86 views字数 6459阅读21分31秒阅读模式

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

风险通告

近日，奇安信CERT监测到VMware官方发布多个VMware Cloud Foundation/VMware vCenter Server的中/高危漏洞，其中包括VMware vCenter Server 文件上传漏洞 (CVE-2021-22005)、VMware vCenter Server 本地提权漏洞 (CVE-2021-21991)、VMware vCenter Server 反向代理绕过漏洞 (CVE-2021-22006)、VMware vCenter Server 未经身份验证的 API 端点漏洞 (CVE-2021-22011)、VMware vCenter Server本地提权漏洞 (CVE-2021-22015)、VMware vCenter Server 未经身份验证的 API 信息泄露漏洞 (CVE-2021-22012)、VMware vCenter Server 目录遍历漏洞 (CVE-2021-22013)、VMware vCenter Server rhttpproxy 绕过漏洞 (CVE-2021-22017)等多个中/高危漏洞。

其中VMware vCenter Server 文件上传漏洞（CVE-2021-22005）的影响较大，具有vCenter Server 443端口的访问权限的攻击者即可向vCenter Server上传特制的恶意文件，进而远程执行任意代码。

目前，奇安信CERT已监测到VMware vCenter Server 文件上传漏洞（CVE-2021-22005）细节及PoC流出，攻击者可在无需身份认证的情况下上传文件。经验证默认配置情况下该PoC可用，漏洞利用的现实威胁上升。同时官方已发布修复版本，奇安信CERT强烈建议客户尽快修复漏洞并自查服务器的安全状况。

本次更新内容：

1、更新CVE-2021-22005 VMware vCenter Server 文件上传漏洞状态

2、新增复现截图、新增产品线解决方案

当前漏洞状态

细节是否公开	PoC状态	EXP状态	在野利用
是（部分）	已公开（部分）	未知	未知

注：CVE-2021-22005 VMware vCenter Server 文件上传漏洞细节以及PoC已公开

漏洞描述

VMware vCenter Server 提供对 vSphere 虚拟基础架构的集中管理。 IT 管理员可以确保安全性和可用性、简化日常任务并降低管理虚拟基础架构的复杂性。

近日，奇安信CERT监测到VMware官方发布多个VMware Cloud Foundation/VMware vCenter Server的中/高危漏洞，其中包括：

VMware vCenter Server 文件上传漏洞 (CVE-2021-22005)
VMware vCenter Server 本地提权漏洞 (CVE-2021-21991)
VMware vCenter Server 反向代理绕过漏洞 (CVE-2021-22006)
VMware vCenter Server 未经身份验证的 API 端点漏洞 (CVE-2021-22011)
VMware vCenter Server 本地提权漏洞 (CVE-2021-22015)
VMware vCenter Server 未经身份验证的 API 信息泄露漏洞 (CVE-2021-22012)
VMware vCenter Server 目录遍历漏洞 (CVE-2021-22013)
VMware vCenter Server rhttpproxy 绕过漏洞 (CVE-2021-22017)

目前，官方已发布修复版本，奇安信CERT强烈建议客户尽快修复漏洞并自查服务器的安全状况。

1、CVE-2021-22005 VMware vCenter Server 文件上传漏洞

漏洞名称	VMware vCenter Server 文件上传漏洞
漏洞类型	文件上传	风险等级	严重	漏洞ID	CVE-2021-22005
公开状态	已公开	在野利用	未发现
漏洞描述	VMware vCenter Server对上传文件的验证不足，具有vCenter Server 443端口的访问权限的攻击者可以向vCenter Server上传特制的恶意文件，执行任意代码。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

2、CVE-2021-21991 VMware vCenter Server 本地提权漏洞

漏洞名称	VMware vCenter Server 本地提权漏洞
漏洞类型	本地提权	风险等级	高危	漏洞ID	CVE-2021-21991
公开状态	未公开	在野利用	未发现
漏洞描述	VMware vCenter Server 处理会话令牌的方式存在缺陷。本地攻击者可以在 vSphere Client (HTML5) 或 vCenter Server vSphere Web Client (FLEX/Flash) 上利用该缺陷将权限提升为管理员。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

3、CVE-2021-22006 VMware vCenter Server 反向代理绕过漏洞

漏洞名称	VMware vCenter Server 反向代理绕过漏洞
漏洞类型	身份验证绕过	风险等级	高危	漏洞ID	CVE-2021-22006
公开状态	未公开	在野利用	未发现
漏洞描述	VMware vCenter Server反向代理中的 URI 处理不当。远程未经身份验证的攻击者可以向端口 443/TCP 发送特制的 HTTP 请求并访问受限端点。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

4、CVE-2021-22011 VMware vCenter Server 未经身份验证的 API 端点漏洞

漏洞名称	VMware vCenter Server 未经身份验证的 API 端点漏洞
漏洞类型	身份验证绕过	风险等级	高危	漏洞ID	CVE-2021-22011
公开状态	未公开	在野利用	未发现
漏洞描述	vCenter Server Content库中包含一个未经身份验证的 API 端点漏洞，对vCenter Server 443端口具有访问权限的攻击者可以未经授权访问系统并执行未经身份验证的 VM 网络设置操作
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

5、CVE-2021-22015 VMware vCenter Server 本地提权漏洞

漏洞名称	VMware vCenter Server 本地提权漏洞
漏洞类型	本地提权	风险等级	高危	漏洞ID	CVE-2021-22015
公开状态	未公开	在野利用	未发现
漏洞描述	VMware vCenter Server系统设置的文件和文件夹的默认权限不正确。有权访问系统的本地攻击者可以在 vCenter Server Appliance 上将特权升级为 root。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

6、CVE-2021-22012 VMware vCenter Server 未经身份验证的 API 信息泄露漏洞

漏洞名称	VMware vCenter Server 未经身份验证的 API 信息泄露漏洞
漏洞类型	信息泄露	风险等级	中危	漏洞ID	CVE-2021-22012
公开状态	未公开	在野利用	未发现
漏洞描述	VMware vCenter Server缺少对设备管理 API 的身份验证。远程未经身份验证的攻击者可以访问端口 443/TCP 来访问系统上的敏感信息。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

7、CVE-2021-22013 VMware vCenter Server 目录遍历漏洞

漏洞名称	VMware vCenter Server 路径遍历漏洞
漏洞类型	目录遍历	风险等级	中危	漏洞ID	CVE-2021-22013
公开状态	未公开	在野利用	未发现
漏洞描述	VMware vCenter Server在设备管理 API 中处理目录遍历序列时输入验证错误。远程未经身份验证的攻击者可以向端口 443/TCP 发送特制的 HTTP 请求并读取系统上的任意文件。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

8、CVE-2021-22017 VMware vCenter Server rhttpproxy 绕过漏洞

漏洞名称	VMware vCenter Server rhttpproxy 绕过漏洞
漏洞类型	身份认证绕过	风险等级	高危	漏洞ID	CVE-2021-22017
公开状态	未公开	在野利用	未发现
漏洞描述	rhttpproxy 中 URI 规范化实施不当。远程未经身份验证的攻击者可以请求一个特制的 URL，绕过 rhttpproxy 并访问内部端点。
参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

奇安信CERT已成功复现VMware vCenter Server 文件上传漏洞 (CVE-2021-22005)，复现截图如下：

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

风险等级

奇安信 CERT风险评级为：高危

风险等级：蓝色（一般事件）

影响范围

VMware vCenter Server 6.5.*

VMware vCenter Server 6.7.*

VMware vCenter Server 7.0.*

VMware Cloud Foundation (vCenter Server) 3.*

VMware Cloud Foundation (vCenter Server) 4.*

处置建议

升级至安全版本

VMware vCenter Server 6.5 U3q

VMware vCenter Server 6.7 U3o

VMware vCenter Server 7.0 U2c

VMware Cloud Foundation (vCenter Server) KB85718 (4.3)

VMware Cloud Foundation (vCenter Server) KB85719 (3.10.2.2)

CVE-2021-22005的缓解措施

Windows系统上运行的vCenter不受CVE-2021-22005影响，不需要执行下面的缓解措施。

第一种缓解措施：

1、使用 SSH 会话和 root 凭据连接到 vCSA。

2、将脚本复制到”/etc/tmp”，列出您复制文件的目录的内容，以确保它被成功复制。执行命令并确保该文件已列出 ls -al /var/tmp/。
3、通过执行以下命令来运行脚本根据需要更改文件的路径，要使用的 python 版本取决于您的 vCenter 的确切版本.脚本可以用python、python3.5或python 3.7执行。

python /var/tmp/VMSA-2021-0020.py或
python3.5 /var/tmp/VMSA-2021-0020.py或
python3.7 /var/tmp/VMSA-2021-0020.py

这个脚本会执行下面的操作：

a：创建未修改的ph-web.xml的备份

b：更新 ph-web.xml 文件

c：创建更新的ph-web.xml的备份

d：重新启动分析服务

e：确认设备不再易受攻击

请看下面的输出（在本例中使用 python 3.5 执行的脚本）。

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

脚本链接：

https://kb.vmware.com/sfc/servlet.shepherd/version/download/0685G00000XYdkVQAT

第二种缓解措施：

1、使用 SSH 会话和根凭据连接到 vCSA。

2、备份 /etc/vmware-analytics/ph-web.xml 文件：

cp /etc/vmware-analytics/ph-web.xml /etc/vmware-analytics/ph-web.xml.backup

3、打开/文本编辑器中的etc/vmware-analytics/ph-web.xml文件：

vi /etc/vmware-analytics/ph-web.xml

4、该文件的内容如下所示：

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

5、敲击键盘上的”|”进入“Insert”模式（I 表示插入）。
6、导航到“<list>”行，如下所示：

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

7、按 Enter。
8、键入“<!—”，如下所示：

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

9、跳转到“</bean>”标签后面的“<property name="servlet" ref="phPhStgApiServlet"/>”行。在6.7 的旧版本（u1b 或更早版本）上，您应该跳转到“<property name="servlet”之后的“</bean>”标签后面的”ref="phTelemetryServlet"/>”行。

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

10、按“Enter”并键入“-->”。

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

11、按键盘上的“Esc”按钮退出插入模式。
12、键入“:wq”并保存并退出文件点击“Enter”。

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

13、通过键入service-control --restart vmware-analytics命令重新启动 vmware-analytics 服务。
14、为了确认解决方法已经生效，您可以通过运行以下命令进行测试

curl -X POST "http://localhost:15080/analytics/telemetry/ph/api/hyper/send?_c&_i=test" -d "Test_Workaround" -H "Content-Type: application/json" -v 2>&1 | grep HTTP

此时应该返回404错误。

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

产品线解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全面支持对VMware vCenter Server 文件上传漏洞（CVE-2021-22005）的防护。

奇安信天眼产品解决方案

奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则，请将规则包升级到3.0.0924.13053上版本。规则名称：VMware vCenter Server 文件上传漏洞(CVE-2021-22005)，规则ID：0x10020DEA。奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：6937，建议用户尽快升级检测规则库至2109241620以后版本并启用该检测规则。

奇安信网神智慧防火墙产品防护方案

奇安信新一代智慧防火墙（NSG3000/5000/7000/9000系列）和下一代极速防火墙（NSG3500/5500/7500/9500系列）产品系列，已通过更新IPS特征库完成了对该漏洞的防护。建议用户尽快将IPS特征库升级至” 2109241700” 及以上版本并启用规则ID: 4325101进行检测。

参考资料

[1]https://www.vmware.com/security/advisories/VMSA-2021-0020.html

[2]https://kb.vmware.com/s/article/85717

时间线

2021年9月22日，奇安信 CERT发布安全风险通告

2021年9月24日，奇安信 CERT发布安全风险通告第二次更新

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

奇安信CERT长期招募安全研究员

↓ ↓ ↓ 向下滑动图片了解更多↓ ↓ ↓

原文始发于微信公众号（奇安信 CERT）：【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

左青龙
微信扫一扫

右白虎
微信扫一扫

【通告更新】奇安信CERT已复现，VMware vCenter Server多个漏洞安全风险通告第二次更新

泛微E-Mobile 6.0 client.do 命令执行漏洞

【在野0day】某友CRM系统某接口存在任意文件下载（大量资产存在）

【漏洞复现】短视频矩阵营销系统 ajax_uplaod接口处存在任意文件上传

漏洞速递 | Microsoft微软最新RCE漏洞（附EXP）

通达OA down 未授权员工信息泄露漏洞

漏洞预警 | FFmpeg释放后使用漏洞

漏洞预警 | Telegram Windows客户端可执行文件限制不当漏洞

漏洞预警 | 睿贝外贸ERP任意文件读取漏洞

漏洞预警 | 易宝OA系统SQL注入漏洞

Primeton EOS Platform jmx反序列化致远程代码执行漏洞

发表评论

在线咨询

微信