【误差通告】VMware vCenter Server恣意文件读取误差 (CVE-2021-21980)
宣布时间 2021-11-25
0x00 误差概述
CVE ID | CVE-2021-21980 | 时 间 | 2021-11-23 |
类 型 | 恣意文件读取 | 等 级 | 高危 |
远程使用 | 是 | 影响规模 | |
攻击重漂后 | 低 | 可用性 | 无 |
用户交互 | 无 | 所需权限 | 无 |
PoC/EXP | 在野使用 |
0x01 误差详情
2021年11月23日，VMware宣布vCenter Server 清静更新，修复了vSphere Web Client 中的一个恣意文件读取误差 (CVE-2021-21980)，该误差的CVSS评分为7.5。
该误差保存于vSphere Web Client（FLEX/Flash）中，能够会见vCenter Server 上的 443 端口的攻击者可以使用此误差在未授权的情形下读取恣意文件并获取敏感信息。
别的，VMware还修复了vSphere Web Client 中的 一个SSRF 误差 (CVE-2021-22049)，该误差的CVSS评分为6.5。能够会见 vCenter Server 上的 443 端口的攻击者可以通过使用此误差会见vCenter Server 外部的 URL 请求或会见内部服务。
影响规模
vCenter Server 6.7
vCenter Server 6.5
Cloud Foundation (vCenter Server) 3.x
0x02 处置惩罚建议
现在这些误差已经修复，建议实时升级更新到以下版本：
vCenter Server 6.7 U3p
下载链接：
https://customerconnect.vmware.com/en/downloads/details?downloadGroup=VC67U3P&productId=742&rPId=78421
vCenter Server 6.5 U3r
下载链接：
https://customerconnect.vmware.com/downloads/details?downloadGroup=VC65U3R&productId=614&rPId=74057
注重：vCenter Server vSphere Web Client (FLEX/Flash)在vCenter Server 7.x中不可用，因此vCenter Server 7.x中不保存这些误差。别的，VMware暂未宣布Cloud Foundation (vCenter Server) 3.x的补丁。
0x03 参考链接
https://www.vmware.com/security/advisories/VMSA-2021-0027.html
https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3p-release-notes.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21980
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-11-25 | 首次宣布 |
0x05 关于尊龙凯官网入口
尊龙凯官网入口简介
尊龙凯官网入口公司建设于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是海内最具实力的信息清静产品和清静管理平台、清静服务与解决计划的领航企业之一。
公司总部位于北京市中关村软件园，在天下各省、市、自治区设立分支机构六十多个，拥有笼罩天下的销售系统、渠道系统和手艺支持系统 ；并在华北、华东、西南和华南结构四大研发中心，划分为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来，尊龙凯官网入口致力于提供具有国际竞争力的自主立异的清静产品和最佳实践服务，资助客户周全提升其IT基础设施的清静性和生产效能，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。
关于尊龙凯官网入口
尊龙凯官网入口清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。
关注以下公众号，获取全球最新清静资讯：
京公网安备11010802024551号