VMware多个高危漏洞通告
0x01事件简述
2021年02月24日,360CERT监测发现VMware发布了Vcenter Server、ESXI的风险通告,事件等级:严重,事件评分:9.8。 VMware更新了ESXI和vSphere Client(HTML5)中的两个高危漏洞,具有网络端口访问权限的恶意攻击者可以通过漏洞执行任意代码。 对此,360CERT建议广大用户及时将Vcenter Server与ESXI产品升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
0x02风险等级
360CERT对该事件的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 严重 |
影响面 | 广泛 |
360CERT评分 | 9.8 |
0x03漏洞详情
CVE-2021-21972: 代码执行漏洞 具有443端口访问权限的恶意攻击者可以通过向vCenter Server发送精心构造的请求,最终造成远程任意代码执行。 CVE-2021-21974: 堆溢出漏洞 与ESXI处于同一网段且可以访问427端口的恶意攻击者可以构造恶意请求包触发OpenSLP服务中的堆溢出漏洞,最终造成远程代码执行。
0x04影响版本
–vmware:esxi: 7.0/6.7/6.5 –vmware:vcenter_server: 7.0/6.7/6.5
0x05修复建议
通用修补建议 CVE-2021-21972: –vCenter Server7.0版本升级到7.0.U1c –vCenter Server6.7版本升级到6.7.U3l –vCenter Server6.5版本升级到6.5 U3n CVE-2021-21974: –ESXi7.0版本升级到ESXi70U1c-17325551 –ESXi6.7版本升级到ESXi670-202102401-SG –ESXi6.5版本升级到ESXi650-202102101-SG 临时修补建议 CVE-2021-21972 1. SSH远连到vCSA(或远程桌面连接到Windows VC) 2. 备份以下文件: – Linux系文件路径为:/etc/vmware/vsphere-ui/compatibility-matrix.xml (vCSA) – Windows文件路径为:C:\ProgramData\VMware\vCenterServer\cfg\vsphere-ui (Windows VC) 3. 使用文本编辑器将文件内容修改为:

4. 使用vmon-cli -r vsphere-ui命令重启vsphere-ui服务
5. 访问https://

6. 在vSphere Client的Solutions->Client Plugins中VMWare vROPS插件显示为incompatible

CVE-2021-21974 1. 使用/etc/init.d/slpd stop命令在ESXI主机上停止SLP服务(仅当不使用SLP服务时,才可以停止该服务。可以使用esxcli system slp stats get命令查看服务守护程序运行状态) 2. 使用esxcli network firewall ruleset set -r CIMSLP -e 0命令禁用SLP服务 3. 使用chkconfig slpd off命令保证此更改在重启后持续存在 4. 利用chkconfig --list | grep slpd命令检查是否在重启后更改成功,若回显为slpd off则证明成功
0x06相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现vCenter Server具体分布如下图所示。


ESXI具体分布如下图所示。


0x07时间线
2021-02-23VMware官方发布安全通告 2021-02-24360CERT发布通告
0x08参考链接
1、
VMware官方安全通告2、
官方漏洞通告0x09特制报告下载链接
一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。
VMware多个高危漏洞通告