登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202112/1519579_30003_0.htm

VMware vCenter Server多个漏洞通告（CVE-2021-21980&CVE-2021-22049）

【发布时间：2021-12-30】

威胁预警团队

2021/11/25


1. 漏洞综述

1.1 漏洞背景

VMware软件原生集成计算、网络和存储虚拟化技术及自动化和管理功能，支持企业革新其基础架构、自动化IT服务的交付和管理及运行新式云原生应用和基于微服务应用。近日，新华三攻防实验室威胁预警团队监测到VMware官方发布了编号为VMSA-2021-0027的漏洞风险通告(CVE-2021-21980和CVE-2021-22049)，涉及到VMware vCenter Server (vCenter Server)、VMware Cloud Foundation (Cloud Foundation)两款产品，恶意攻击者可以利用此漏洞访问服务器敏感信息。

1.2 漏洞详情

CVE-2021-21980 任意文件读取漏洞

该漏洞是由于VMware vSphere Web Client (FLEX/Flash) 中存在一个未授权任意文件读取漏洞。未授权的恶意攻击者可以通过vCenter Server的443端口利用该漏洞，读取服务器上的任意文件，从而造成敏感信息泄露。

严重等级：高危 7.5

CVE-2021-22049 服务器端请求伪造漏洞

该漏洞是由于VMware vSphere Web Client (FLEX/Flash) 的 vSAN Web Client (vSAN UI) 插件中存在一个服务器端请求伪造漏洞，恶意攻击者可以通过vCenter Server的443端口，访问 vCenter Server 外部的 URL 请求或访问内部服务来利用此漏洞。

严重等级：中危 6.5

2. 影响范围

VMware vCenter Server 6.5，6.7

VMware Cloud Foundation (vCenter Server) 3.x

3. 处置方法

3.1 临时修复建议

目前官方已发布更新补丁，请受影响用户及时安装更新补丁，官方链接：https://www.vmware.com/security/advisories/VMSA-2021-0027.html

4. 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0027.html

新华三官网
联系我们