關(guān)鍵詞 重大安全漏洞

　　2021年09月22日,，360CERT監(jiān)測(cè)發(fā)現(xiàn)VMware官方發(fā)布了VMware vCenter Server/VMware Cloud Foundation的風(fēng)險(xiǎn)通告。

　　稱其產(chǎn)品 vCenter Server 和 Cloud Foundation 設(shè)備中存在多達(dá) 19 個(gè)安全漏洞,，遠(yuǎn)程攻擊者可以利用這些漏洞來(lái)控制受影響的系統(tǒng),。

　　VMware vCenter Server是VMware虛擬化管理平臺(tái)，廣泛的應(yīng)用于企業(yè)私有云內(nèi)網(wǎng)中,。通過(guò)使用vCenter,，管理員可以輕松的管理上百臺(tái)虛擬化環(huán)境，同時(shí)也意味著當(dāng)其被攻擊者控制后會(huì)造成私有云大量虛擬化環(huán)境將被攻擊者控制,。

　　對(duì)此,，安全圈建議廣大用戶及時(shí)將VMwarevCenterServer/VMwareCloudFoundation升級(jí)到最新版本。與此同時(shí),，請(qǐng)做好資產(chǎn)自查以及預(yù)防工作,，以免遭受黑客攻擊。

　　VMware 修補(bǔ)的完整漏洞列表如下：

　　CVE-2021-22005（CVSS 評(píng)分：9.8）——vCenter Server 文件上傳漏洞

　　CVE-2021-21991（CVSS 評(píng)分：8.8）——vCenter Server 本地提權(quán)漏洞

　　CVE-2021-22006（CVSS 評(píng)分：8.3）——vCenter Server 反向代理繞過(guò)漏洞

　　CVE-2021-22011（CVSS 評(píng)分：8.1）——vCenter 服務(wù)器未經(jīng)身份驗(yàn)證的 API 端點(diǎn)漏洞

　　CVE-2021-22015（CVSS 評(píng)分：7.8）——vCenter Server 權(quán)限不當(dāng)本地提權(quán)漏洞

　　CVE-2021-22012（CVSS 評(píng)分：7.5）——vCenter Server 未經(jīng)身份驗(yàn)證的 API 信息泄露漏洞

　　CVE-2021-22013（CVSS 評(píng)分：7.5）——vCenter Server 文件路徑遍歷漏洞

　　CVE-2021-22016（CVSS 評(píng)分：7.5）——vCenter Server 反映了 XSS 漏洞

　　CVE-2021-22017（CVSS 評(píng)分：7.3）——vCenter Server rhttpproxy 繞過(guò)漏洞

　　CVE-2021-22014（CVSS 評(píng)分：7.2）——vCenter Server 身份驗(yàn)證代碼執(zhí)行漏洞

　　CVE-2021-22018（CVSS 評(píng)分：6.5）——vCenter Server 文件刪除漏洞

　　CVE-2021-21992（CVSS 評(píng)分：6.5）——vCenter Server XML 解析拒絕服務(wù)漏洞

　　CVE-2021-22007（CVSS 評(píng)分：5.5）——vCenter Server 本地信息泄露漏洞

　　CVE-2021-22019（CVSS 評(píng)分：5.3）——vCenter Server 拒絕服務(wù)漏洞

　　CVE-2021-22009（CVSS 評(píng)分：5.3）——vCenter Server VAPI 多重拒絕服務(wù)漏洞

　　CVE-2021-22010（CVSS 評(píng)分：5.3）——vCenter Server VPXD 拒絕服務(wù)漏洞

　　CVE-2021-22008（CVSS 評(píng)分：5.3）——vCenter Server 信息泄露漏洞

　　CVE-2021-22020（CVSS 評(píng)分：5.0）——vCenter Server Analytics 服務(wù)拒絕服務(wù)漏洞

　　CVE-2021-21993（CVSS 評(píng)分：4.3）——vCenter Server SSRF 漏洞