【漏洞情报】VMware多个安全漏洞通告

VMware

漏洞详情

vSphere客户端远程代码执行漏洞

• 漏洞名称：vSphere客户端远程代码执行漏洞

• 漏洞编号：CVE-2021-21972

• 漏洞危害：紧急

• 漏洞类型：远程代码执行

• CVSSv 3评分：9.8

• 描述：VSphere客户端(HTML 5)在vCenter Server插件中包含远程代码执行漏洞，具有端口443的网络访问权限的恶意攻击者可通过精心构造的恶意请求来进行任意代码执行攻击。

• 漏洞影响范围：

• vCenter Server：6.5、6.7、7.0

• 产品套件Cloud Foundation (vCenter Server)：3.x、4.x

vSphere客户端SSRF漏洞

• 漏洞名称：vSphere客户端SSRF漏洞

• 漏洞编号：CVE-2021-21973

• 漏洞危害：中危

• 漏洞类型：远程代码执行

• CVSSv 3评分：5.5

• 描述：具有端口443的网络访问权限的恶意攻击者通过向vCenter服务器插件发送POST请求来攻击此问题，从而导致信息泄漏。

• 漏洞影响范围：

• vCenter Server：6.5、6.7、7.0

• 相关产品套件Cloud Foundation (vCenter Server)：3.x、4.x

ESXI OpenSLP堆溢出漏

• 漏洞名称：ESXI OpenSLP堆溢出漏

• 漏洞编号：CVE-2021-21974

• 漏洞危害：高危

• 漏洞类型：远程代码执行

• CVSSv 3评分：8.8

• 描述：与目标ESXI主机处于同一网段并具有427端口网络访问权限的恶意攻击者可以通过构造恶意请求包触发OpenSLP服务中的堆溢出漏洞，从而导致远程代码执行。

• 漏洞影响范围：

• ESXi：6.5、6.7、7.0

• 相关产品套件Cloud Foundation (ESXi)：3.x、4.x

CVE-2021-21972、CVE-2021-21973：

vCenter Server6.5版本升级到6.5 U3n

vCenter Server6.7版本升级到6.7.U3l

vCenter Server7.0版本升级到7.0.U1c

Cloud Foundation (vCenter Server)3.x版本升级至3.10.1.2

Cloud Foundation (vCenter Server)4.x版本升级至4.2

CVE-2021-21974：

ESXi6.5版本升级到ESXi650-202102101-SG

ESXi6.7版本升级到ESXi670-202102401-SG

ESXi7.0版本升级到ESXi70U1c-17325551

Cloud Foundation (ESXi) 4.x版本升级至4.2

CVE-2021-21972、CVE-2021-21973：

https://kb.vmware.com/s/article/82374

CVE-2021-21974：

https://kb.vmware.com/s/article/76372