就在幾天前,一些互聯(lián)網(wǎng)公司監(jiān)測(cè)到 VMware 官方發(fā)布安全公告,披露了包括 CVE-2021-21972,、CVE-2021-21973 和 CVE-2021-21974 在內(nèi)的高危漏洞。攻擊者可以通過(guò)發(fā)送精心構(gòu)造的惡意數(shù)據(jù)包造成遠(yuǎn)程執(zhí)行代碼,獲取接管服務(wù)器權(quán)限,存在極大的安全隱患,。
公告中披露的最顯著的漏洞是 CVE-2021-21972,vCenter Server 中的一個(gè)關(guān)鍵遠(yuǎn)程代碼執(zhí)行(RCE)缺陷,。
2 月 24 日,,國(guó)家信息安全漏洞共享平臺(tái)(CNVD)收錄了 VMware vCenter Server 遠(yuǎn)程代碼執(zhí)行漏洞(CNVD-2021-12322,對(duì)應(yīng) CVE-2021-21972),、VMware ESXi OpenSLP 堆溢出漏洞(CNVD-2021-12321,,對(duì)應(yīng) CVE-2021-21974)。
VMware 高危漏洞
黑客們正在大規(guī)模的掃描互聯(lián)網(wǎng),,尋找 VMware 服務(wù)器的代碼執(zhí)行漏洞,,該漏洞的嚴(yán)重等級(jí)為 9.8(滿分 10)。
在 VMware 官方發(fā)布安全通告中,,披露了 vSphere Client,、ESXi 的兩個(gè)高危漏洞。
CVE-2021-21972:vSphere Client(HTML5)在 vCenter Server 插件 vRealize Operations 中包含一個(gè)遠(yuǎn)程執(zhí)行代碼漏洞,,CVSSv3 評(píng)分 9.8,。受影響的 vRealize Operations 插件為默認(rèn)安裝。
CVE-2021-21974:ESXi 中使用的 OpenSLP 存在堆溢出漏洞,,CVSSv3 評(píng)分 8.8,。與 ESXi 處于同一網(wǎng)段中且可以訪問(wèn) 427 端口的攻擊者可觸發(fā) OpenSLP 服務(wù)中的堆溢出問(wèn)題,從而導(dǎo)致遠(yuǎn)程執(zhí)行代碼,。
其中 CVE-2021-21974 是 VMware vCenter server 中的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞,,該漏洞是一個(gè) Windows 或 Linux 應(yīng)用程序,管理員使用它來(lái)啟用和管理大型網(wǎng)絡(luò)的虛擬化,。在 VMware 發(fā)布補(bǔ)丁的一天之內(nèi),,至少有六個(gè)不同的源出現(xiàn)了概念驗(yàn)證漏洞。該漏洞的嚴(yán)重程度,,再加上 Windows 和 Linux 機(jī)器都有可用的可利用漏洞,,使得黑客們爭(zhēng)先恐后地積極尋找易受攻擊的服務(wù)器。
一天之內(nèi)檢測(cè)到 CVE-2021-21972 的質(zhì)量掃描活動(dòng)2 月 24 日,,即 VMware 發(fā)布其通告的第二天,,Bad Packets 首席研究官 Troy Mursch 發(fā)推文說(shuō),已檢測(cè)到大規(guī)模掃描活動(dòng),,正在搜索易受攻擊的 vCenter Server,。
Mursch 說(shuō),BinaryEdge 搜索引擎發(fā)現(xiàn)了近 15000 個(gè)暴露在 Internet 上的 vCenter server,,而 Shodan 搜索發(fā)現(xiàn)了大約 6700 個(gè),。大規(guī)模掃描的目的是識(shí)別尚未安裝該補(bǔ)丁的服務(wù)器,VMware 已于周二發(fā)布了該補(bǔ)丁。
漏洞導(dǎo)致不受限制的遠(yuǎn)程代碼執(zhí)行權(quán)限
網(wǎng)絡(luò)安全公司 Tenable 發(fā)文表示道,,CVE-2021-21972 允許黑客在沒(méi)有授權(quán)的情況下將文件上傳到易受攻擊的 vCenter server 上,,這些服務(wù)器可以通過(guò) 443 端口公開(kāi)訪問(wèn)。成功利用漏洞將導(dǎo)致黑客在底層操作系統(tǒng)中獲得不受限制的遠(yuǎn)程代碼執(zhí)行權(quán)限,。該漏洞源于默認(rèn)安裝的 vRealize 操作插件中缺少身份驗(yàn)證,。
在通用漏洞評(píng)分系統(tǒng)(CVSS)3.0 版上,該漏洞的嚴(yán)重性得分為 9.8 分(滿分為 10.0 分),。來(lái)自 Positive Technologies 公司的 Mikhail Klyuchnikov 發(fā)現(xiàn)了該漏洞,,并私下向 VMware 報(bào)告了該漏洞,他將 CVE-2021-21972 與 CVE-2019-19781 的風(fēng)險(xiǎn)進(jìn)行了比較,,而 CVE-2019-19781 是 Citrix 應(yīng)用程序交付控制器中的一個(gè)關(guān)鍵漏洞。
去年年初,,研究人員在 Citrix ADC 和 Citrix 網(wǎng)關(guān)設(shè)備中發(fā)現(xiàn)一個(gè)嚴(yán)重漏洞——CVE-2019-19781,。未授權(quán)的攻擊者可以利用該漏洞來(lái)入侵設(shè)備。雖然沒(méi)有公布漏洞相關(guān)的細(xì)節(jié),,但 Citrix 發(fā)布的公告中仍然給出了該漏洞類型的一些線索,。
CVE-2019-19781 漏洞存在于路徑 / vpns / 中,因此這可能是一個(gè)目錄遍歷漏洞,。
在早些時(shí)候,,Klyuchnikov 在文章《VMware fixes dangerous vulnerabilities that threaten many large companies》中寫道:
我們認(rèn)為,vCenter Server 中的 RCE 漏洞所造成的威脅不亞于 Citrix 中漏洞(CVE-2019-19781),。該錯(cuò)誤允許未經(jīng)授權(quán)的用戶發(fā)送專門的 crafted 請(qǐng)求,,此請(qǐng)求稍后將使他們有機(jī)會(huì)在服務(wù)器上執(zhí)行任意命令。在獲得這樣的機(jī)會(huì)后,,攻擊者可以發(fā)起攻擊,,成功地通過(guò)公司網(wǎng)絡(luò)進(jìn)行移動(dòng),并獲得對(duì)存儲(chǔ)在被攻擊系統(tǒng)中的數(shù)據(jù)(如有關(guān)虛擬機(jī)和系統(tǒng)用戶的信息)的訪問(wèn)權(quán)限,。如果可以從 Internet 訪問(wèn)易受攻擊的軟件,,這將允許外部攻擊者穿透公司的外部邊界,并訪問(wèn)敏感數(shù)據(jù),。我想再次指出,,這個(gè)漏洞是危險(xiǎn)的,因?yàn)樗梢员蝗魏挝唇?jīng)授權(quán)的用戶使用,。
漏洞修復(fù)
CVE-2021-21972 會(huì)影響 6.5,、6.7 和 7.01 版本的 vCenter Server 。用戶在使用其中一個(gè)版本時(shí)應(yīng)盡快更新到安全版本:
vCenter Server 7.0 版本升級(jí)到 7.0.U1c,;
vCenter Server 6.7 版本升級(jí)到 6.7.U3l,;
vCenter Server 6.5 版本升級(jí)到 6.5 U3n。
那些不能立即安裝補(bǔ)丁的用戶應(yīng)該采用《VMware vCenter Server Workaround Instructions for CVE-2021-21972 and CVE-2021-21973 (82374)》給出的變通辦法,其中包括更改兼容性列表文件并將 vRealize 插件設(shè)置為不兼容,。將 vCenter Server 直接暴露給 Internet 的管理員應(yīng)強(qiáng)烈考慮遏制這種做法,,或者至少使用 VPN。