【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

admin
admin
admin
140350
文章
117
评论
2021年5月26日04:53:25评论122 views字数 5219阅读17分23秒阅读模式
【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。




风险通告



近日，奇安信CERT监测到VMware官方发布多个关于vCenter Server的风险通告，其中包括VMware vCenter Server远程代码执行漏洞（CVE-2021-21985）、VMware vCenter Server错误的身份验证漏洞（CVE-2021-21986）两个高危漏洞，目前官方已有可更新版本。鉴于漏洞危害较大，建议用户及时安装更新补丁。



当前漏洞状态



CVE编号

细节是否公开

PoC状态

EXP状态

在野利用
CVE-2021-21985‍

否

未知

未知

未知
CVE-2021-21986 否 未知
 未知 未知




漏洞描述

VMware vCenter Server远程代码执行漏洞（CVE-2021-21985）：vSphere Client（HTML5）在vCenter Server插件中存在一个远程执行代码漏洞，未授权的攻击者可以通过开放 443 端口的服务器向 vCenter Server 发送精心构造的请求，成功利用该漏洞可以使攻击者在vCenter主机上执行任意命令。

VMware vCenter Server错误的身份验证漏洞（CVE-2021-21986）：多个vCenter Server插件中的身份验证机制问题，可通过访问服务器开放的 443 端口，使得攻击者无须身份验证即可执行插件功能。



风险等级

奇安信 CERT风险评级为：高危
风险等级：蓝色（一般事件）



影响范围

VMware: vCenter Server 6.5

VMware: vCenter Server 6.7

VMware: vCenter Server 7.0

Cloud Foundation（vCenter Server）3.x

Cloud Foundation（vCenter Server）4.x



处置建议

  • 升级到安全版本：

vCenter Server 7.0 版本升级到 7.0.U2b

vCenter Server 6.7 版本升级到 6.7.U3n

vCenter Server 6.5 版本升级到 6.5 U3p


  • 缓解措施：

重要提示：插件必须设置为“不兼容”。从UI内禁用插件不会阻止利用。

在运行vCenter High Availability（VCHA）的环境中，必须在主动节点和被动节点上都执行以下操作。

将以下各行添加到compatible-matrix.xml文件中，以禁用每个单独的插件
Plugin Name
Configuration Line
VMware vRealize Operations Client Plugin
<PluginPackage id="com.vmware.vrops.install"   status="incompatible"/>
VMware vSAN H5 Client Plugin
<PluginPackage id="com.vmware.vsphere.client.h5vsan"   status="incompatible"/>
Site Recovery
<PluginPackage id="com.vmware.vrUi"   status="incompatible"/>
vCenter Server Life-cycle Manager
<PluginPackage id="com.vmware.vum.client"   status="incompatible"/>
VMware Cloud Director Availability
<PluginPackage id="com.vmware.h4.vsphere.client"   status="incompatible"/>

默认情况下会启用某些插件，并且这些默认插件因系统版本而异。请参考下表以确定默认情况下启用了哪个插件，以及哪个插件需要安装和配置。
Default = 默认情况下，所有vCenter上均启用插件 
Product = 仅在安装和配置了关联产品后才启用插件
 
vCente Version
vRealize Operations
vSAN
vCenter Server Life-cycle Manager
Site Recovery
VMware Cloud Director Availability
6.5
Default
Default
N/A
Product
Product
6.7
Default
Default
N/A
Product
Product
7.0
Default
Default
Default
Product
Default

在基于Linux的虚拟设备（vCSA）上禁用vCenter Server插件

1. 使用SSH会话和root凭据连接到vCSA。
2. 备份/etc/vmware/vsphere-ui/compatibility-matrix.xml文件：
cp -v /etc/vmware/vsphere-ui/compatibility-matrix.xml /etc/vmware/vsphere-ui/compatibility-matrix.xml.backup
3.在文本编辑器中打开compatibility-matrix.xml文件：
vi /etc/vmware/vsphere-ui/compatibility-matrix.xml
注意：未编辑文件的内容应类似于：

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告 

4. 要禁用所有具有已知漏洞的插件，请添加以下行，如下所示：

注意：这些条目应添加在上面突出显示的-> 和<！-条目之间。

<PluginPackage id="com.vmware.vrops.install" status="incompatible"/> <PluginPackage id="com.vmware.vsphere.client.h5vsan" status="incompatible"/> <PluginPackage id="com.vmware.vrUi" status="incompatible"/> <PluginPackage id="com.vmware.vum.client" status="incompatible"/> <PluginPackage id="com.vmware.h4.vsphere.client" status="incompatible"/>
注意：该文件应如下所示：

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

5.保存并关闭compatible-matrix.xml文件：
:wq!
6. 使用以下命令停止并重新启动vsphere-ui服务： 
service-control --stop vsphere-ui service-control --start vsphere-ui
在vSphere Client（HTML5）中，可以在 管理 >解决方案>客户端插件 下将VMware Virtual SAN运行状况检查插件视为不兼容，如下所示：

7.0视图

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

6.7视图

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

 

在基于Windows的vCenter Server部署中禁用vCenter Server插件

1.RDP到基于Windows的vCenter Server。
2.备份C:ProgramDataVMwarevCenterServercfgvsphere-uicompatibility-matrix.xml文件。
3.在文本编辑器中打开compatibility-matrix.xml文件：

注意：未编辑文件的内容应类似于以下内容：

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

4.要禁用所有具有已知漏洞的插件，请添加以下行，如下所示：

注意：这些条目应添加在-> 和<！- 条目上方上方突出显示的

<PluginPackage id="com.vmware.vrops.install" status="incompatible"/> <PluginPackage id="com.vmware.vsphere.client.h5vsan" status="incompatible"/> <PluginPackage id="com.vmware.vrUi" status="incompatible"/> <PluginPackage id="com.vmware.vum.client" status="incompatible"/> <PluginPackage id="com.vmware.h4.vsphere.client" status="incompatible"/>

注意：该文件应如下所示：

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

5.保存并关闭文件。
6.在Windows命令提示符下，使用以下命令停止并重新启动vsphere-ui服务：
C:Program FilesVMwarevCenter Serverbin> service-control --stop vsphere-ui C:Program FilesVMwarevCenter Serverbin> service-control --start vsphere-ui
在vSphere Client（HTML 5）中，可以在“管理” >“解决方案” >“客户端插件”下将禁用的插件视为不兼容，如下所示：

【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告


恢复基于Linux的虚拟设备（vCSA）上的解决方法

1.使用SSH会话和root凭据连接到vCSA。
2.在文本编辑器中打开compatibility-matrix.xml文件：
vi /etc/vmware/vsphere-ui/compatibility-matrix.xml
3. 删除文件中的以下行。 
<PluginPackage id="com.vmware.vrops.install" status="incompatible"/>     <PluginPackage id="com.vmware.vsphere.client.h5vsan" status="incompatible"/>     <PluginPackage id="com.vmware.vrUi" status="incompatible"/>     <PluginPackage id="com.vmware.vum.client" status="incompatible"/>     <PluginPackage id="com.vmware.h4.vsphere.client" status="incompatible"/>
4.保存并关闭文件：
:wq!
5.使用以下命令停止并重新启动vsphere-ui服务： 
service-control --stop vsphere-ui.service-control --start vsphere-ui
6.验证vsphere-ui服务已启动。

恢复基于Windows的vCenter Server部署的解决方法

1.连接到Windows vCenter Server。
2.使用文本编辑器打开 C:ProgramDataVMwarevCenterServercfgvsphere-uicompatibility-matrix.xml
3.删除文件中的以下行。
<PluginPackage id="com.vmware.vrops.install" status="incompatible"/> <PluginPackage id="com.vmware.vsphere.client.h5vsan" status="incompatible"/> <PluginPackage id="com.vmware.vrUi" status="incompatible"/> <PluginPackage id="com.vmware.vum.client" status="incompatible"/> <PluginPackage id="com.vmware.h4.vsphere.client" status="incompatible"/>
4.保存并关闭文件。
5.在Windows命令提示符下，使用以下命令停止并重新启动vsphere-ui服务： 
C:Program FilesVMwarevCenter Serverbin> service-control --stop vsphere-uiC:Program FilesVMwarevCenter Serverbin> service-control --start vsphere-ui
6.验证vsphere-ui服务已启动。



参考资料

[1]https://blogs.vmware.com/vsphere/2021/05/vmsa-2021-0010.html

[2]https://www.vmware.com/security/advisories/VMSA-2021-0010.html

[3]https://kb.vmware.com/s/article/83829



时间线

2021年5月26日，奇安信 CERT发布安全风险通告





【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

奇安信CERT长期招募安全研究员

↓ ↓ ↓ 向下滑动图片了解更多↓ ↓ ↓


本文始发于微信公众号（奇安信 CERT）：【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年5月26日04:53:25
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【安全风险通告】附详细解决方案和缓解措施，VMware产品多个高危漏洞安全风险通告https://cn-sec.com/archives/380870.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息