Срочно. В сервере VMware vCenter обнаружена критическая уязвимость RCE

В сервере VMware vCenter обнаружена критическая уязвимость RCE. Фото: Pixabay

Уязвимость получила код CVE-2021-21985 с оценкой серьёзности 9,8 по шкале в 10 баллов. Проблема связана с отсутствием проверки ввода в подключаемом модуле проверки работоспособности Virtual SAN (vSAN), который по умолчанию включён на сервере vCenter. 

Из сообщения VMware:

«Злоумышленник с сетевым доступом к порту 443 может использовать эту проблему для выполнения команд с неограниченными привилегиями в базовой операционной системе, на которой размещён vCenter Server»

VMware vCenter Server - это служебная программа для управления сервером, которая используется для управления виртуальными машинами, хостами ESXi и другими зависимыми компонентами из единого централизованного местоположения. Уязвимость затрагивает vCenter Server версий 6.5, 6.7 и 7.0 и Cloud Foundation версий 3.x и 4.x. VMware поблагодарила Ricter Z из 360 Noah Lab за сообщение об уязвимости, сообщает The Hacker News.

Выпуск исправления также устраняет проблему аутентификации в vSphere Client, которая влияет на Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager и плагины VMware Cloud Director Availability (CVE-2021-21986, оценка CVSS: 6.5), тем самым позволяя злоумышленник может выполнять действия, разрешённые подключаемыми модулями, без какой-либо аутентификации.

Хотя VMware настоятельно рекомендует клиентам применить экстренное изменение, компания опубликовала обходной путь, чтобы установить несовместимые плагины.

Из сообщения VMware:

«Отключение этих подключаемых модулей приведёт к потере возможностей управления и мониторинга, предоставляемых ими. Организации, разместившие свои серверы vCenter в сетях, к которым имеется прямой доступ из Интернета [...], должны проверять свои системы на предмет компрометации. Им также следует предпринять шаги по внедрению дополнительных средств контроля безопасности периметра (брандмауэры, списки контроля доступа и т. д.) на интерфейсах управления своей инфраструктуры».