安全通告
VMware vCenter Server任意文件讀取漏洞安全風(fēng)險(xiǎn)通告
發(fā)布日期：2021-11-25
?
漏洞描述
2021年11月25日，監(jiān)測(cè)到VMware發(fā)布了vCenter Server的安全更新。
VMware vCenter Server 提供了一個(gè)可伸縮、可擴(kuò)展的平臺(tái)，為虛擬化管理奠定了基礎(chǔ)。VMware vCenter Server（以前稱為 VMware Virtual Center），可集中管理 VMware vSphere 環(huán)境，與其他管理平臺(tái)相比，極大地提高了 IT 管理員對(duì)虛擬環(huán)境的控制。
對(duì)此，禹宏信安建議廣大用戶及時(shí)將VMware vCenter Server升級(jí)到最新版本。與此同時(shí)，請(qǐng)做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。
漏洞編號(hào)
CVE-2021-21980
漏洞危害
vSphere Web Client (FLEX/Flash) 包含一個(gè)未經(jīng)授權(quán)的任意文件讀取漏洞。對(duì) vCenter Server 上的 443 端口具有網(wǎng)絡(luò)訪問(wèn)權(quán)限的黑客可利用此漏洞來(lái)獲取敏感信息。
漏洞等級(jí)
高危
受影響版本
vCenter Server 6.7
vCenter Server 6.5
Cloud Foundation (vCenter Server) 3.x
修復(fù)方案
根據(jù)影響版本中的信息，排查并升級(jí)到以下安全版本：
vCenter Server 6.7 U3p或vCenter Server 6.5 U3r
參考鏈接
- https://customerconnect.vmware.com/en/downloads/details?downloadGroup=VC67U3P&productId=742&rPId=78421
- https://customerconnect.vmware.com/downloads/details?downloadGroup=VC65U3R&productId=614&rPId=74057