• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 應(yīng)用
  • -
    • VMware vCenter Server文件上傳漏洞
    • CNNVD編號：未知
    • 危害等級： 高危 
    • CVE編號：CVE-2021-22005
    • 漏洞類型： 文件上傳
    • 威脅類型：遠(yuǎn)程
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2021-09-27
    • 更新時(shí)間：2021-09-27

    漏洞簡介

    1、組件介紹

    VMware vCenter Server是美國威睿（VMware）公司的一套服務(wù)器和虛擬化管理軟件。該軟件提供了一個(gè)用于管理VMware vSphere環(huán)境的集中式平臺，可自動(dòng)實(shí)施和交付虛擬基礎(chǔ)架構(gòu)。

    2、漏洞描述

    2021年9月22日，深信服安全團(tuán)隊(duì)監(jiān)測到一則VMware vCenter Server組件存在文件上傳漏洞的信息，漏洞編號：CVE-2021-22005，漏洞威脅等級：嚴(yán)重。

    該漏洞是由于VMware vCenter 的 CEIP（客戶體驗(yàn)改善計(jì)劃）分析服務(wù)中對用戶提供的請求參數(shù)處理不當(dāng)，攻擊者可利用該漏洞在未授權(quán)的情況下，上傳惡意文件造成遠(yuǎn)程代碼執(zhí)行攻擊，最終獲取服務(wù)器最高權(quán)限。

    漏洞公示

    暫無

    參考網(wǎng)站

    暫無

    受影響實(shí)體

    可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，國內(nèi)省份中受影響資產(chǎn)分布于廣東、江蘇、浙江等省市。

    目前受影響的VMware vCenter Server版本：

    VMware vCenter Server 7.0

    VMware vCenter Server 6.7

    補(bǔ)丁

    1、如何檢測組件系統(tǒng)版本

    登錄VMware vCenter Server后，在主機(jī)頁面中即可查看相應(yīng)的版本信息。


    2、官方修復(fù)建議

    當(dāng)前官方已發(fā)布受影響版本的對應(yīng)補(bǔ)丁，建議受影響的用戶及時(shí)更新官方的安全補(bǔ)丁。鏈接如下：

    https://customerconnect.vmware.com/patch/


    補(bǔ)丁下載方法(以6.7版本的補(bǔ)丁為例)：

    1. 從VMware Customer Connect下載 VMware vCenter Server 6.7 Update 3o 補(bǔ)丁。

    2. 導(dǎo)航到“Products and Accounts”的“Product Patches”下。

    3. 在“Select a Product”下拉菜單中選擇 VC。

    4. 然后從“Select Version”下拉菜單中選擇相應(yīng)的vCenter版本。

    5. 然后單擊“搜索”，下載最新的補(bǔ)丁。


    補(bǔ)丁安裝方法(以6.7版本的補(bǔ)丁為例)：

    1. 首先在vCenter Server的Datecenter中找到ESXI主機(jī)的datastore，上傳補(bǔ)丁文件VMware-vCenter-Server-Appliance-6.7.0.50000-18485166-patch-FP.iso。


    2. 上傳成功后，在vCenter找到對應(yīng)的ESXi主機(jī)，右鍵編輯設(shè)置，文件附加到 vCenter Server Appliance CD 或 DVD 驅(qū)動(dòng)器


    3. 在CD/DVD驅(qū)動(dòng)器中，選擇數(shù)據(jù)存儲(chǔ)ISO文件，點(diǎn)擊下方的瀏覽按鈕，找到上述步驟中上傳的補(bǔ)丁文件，點(diǎn)擊確定，進(jìn)行掛載。


    4. 以具有超級管理權(quán)限（例如root）的用戶身份登錄到設(shè)備 shell并運(yùn)行以下命令：

    （1）暫存 ISO：software-packages stage –iso


    一直輸入回車，最后輸入Yes后會(huì)顯示Staging process completed successfully。

    （2）查看暫存內(nèi)容：software-packages list –staged


    （3）安裝：software-packages install --staged


    （4）VCSA重啟：shutdown reboot -ra

    再次查看vCenter的版本，已經(jīng)升級成功。


    3、臨時(shí)修復(fù)建議

    該臨時(shí)修復(fù)建議存在一點(diǎn)影響，可能導(dǎo)致7.0版本使用中用戶接收到“JSON deserialization failed”的報(bào)錯(cuò)。

        臨時(shí)方案需根據(jù)vCenter版本，對應(yīng)去修改/etc/vmware-analytics/ph-web.xml文件。

    （1）對于 6.7 U1b（內(nèi)部版本11726888） 及更早版本，有 1 個(gè)端點(diǎn)“phTelemetryServlet”需要注釋。

    （2）對于 6.7U2（內(nèi)部版本 13010631） 及更高版本以及 7.0 的所有版本，有 3 個(gè)受影響的端點(diǎn)，即“phTelemetryServlet”、“phPhApiServlet”和“phPhStgApiServlet”端點(diǎn)。

        根據(jù)修改方法不同分為臨時(shí)修復(fù)方案1和臨時(shí)修復(fù)方案2。方案1采用腳本自動(dòng)修復(fù)，方案二為手動(dòng)修復(fù)方案。


    臨時(shí)修復(fù)方案1:

    1. 使用SSH會(huì)話和root憑證連接到VCSA。

    2. 將檢測腳本復(fù)制到VCSA終端的/var/tmp/路徑下。

    3. 執(zhí)行python /var/tmp/VMSA-2021-0020.py。

    4. 如果終端中顯示Patching completed. Vulnerabilities are NOT detected. 則臨時(shí)修復(fù)方案生效。



    官方臨時(shí)修復(fù)腳本(VMSA-2021-0020.py)下載鏈接：

    https://kb.vmware.com/sfc/servlet.shepherd/version/download/0685G00000YTpbRQAT


    臨時(shí)修復(fù)方案2:

    1.使用SSH會(huì)話和root憑證連接到VCSA。

    2.備份/etc/vmware-analytics/ph-web.xml文件

    cp /etc/vmware-analytics/ph-web.xml/etc/vmware-analytics/ph-web.xml.backup

    3.打開/文本編輯器中的etc/vmware-analytics/ph-web.xml文件

    vi /etc/vmware-analytics/ph-web.xml


    4.敲擊鍵盤上的“ I ”進(jìn)入“ Insert ”模式（I 表示插入）。

    5.導(dǎo)航到<list>行，如下所示。


    6.按 Enter。

    7.鍵入<!—，如下所示。


    8.導(dǎo)航到</bean>行

    該行位于6.7U2版本的<property name="servlet" ref="phPhStgApiServlet"/>行后

    該行位于6.7U1b或更早版本的<property name="servlet" ref="phtelemetryservlet"/>行后。


    9.按 Enter 并鍵入-->。


    10.按鍵盤上的 Esc 按鈕退出插入模式。

    11.鍵入 :wq 并保存并退出文件點(diǎn)擊 Enter 。


    12.重新啟動(dòng) vmware-analytics 服務(wù)，在VCSA終端中輸入

    service-control --restart vmware-analytics

    13.最后為了確認(rèn)解決方法已經(jīng)生效，您可以通過運(yùn)行以下命令進(jìn)行測試

    curl -X POST "http://localhost:15080/analytics/telemetry/ph/api/hyper/send?_c&_i=test" -d "Test_Workaround" -H "Content-Type: application/json" -v 2>&1 | grep HTTP

    結(jié)果應(yīng)該返回 404 錯(cuò)誤。


    4、深信服解決方案

    【深信服下一代防火墻AF】可防御此漏洞， 建議用戶將深信服下一代防火墻開啟 WAF 防護(hù)策略，并更新最新安全防護(hù)規(guī)則，即可輕松抵御此高危風(fēng)險(xiǎn)。

    【深信服安全感知管理平臺SIP】結(jié)合云端實(shí)時(shí)熱點(diǎn)高危/緊急漏洞信息，可快速檢出業(yè)務(wù)場景下的該漏洞，并可聯(lián)動(dòng)【深信服下一代防火墻等產(chǎn)品AF】實(shí)現(xiàn)對攻擊者IP的封堵。

    【深信服安全云眼CloudEye】預(yù)計(jì)2021年9月29日，完成檢測更新，對所有用戶網(wǎng)站探測，保障用戶安全。不清楚自身業(yè)務(wù)是否存在漏洞的用戶，可注冊信服云眼賬號，獲取30天免費(fèi)安全體驗(yàn)。

    注冊地址：http://saas.sangfor.com.cn

    【深信服云鏡JY】預(yù)計(jì)2021年9月29日，完成檢測能力的發(fā)布，部署了云鏡的用戶可以通過升級來快速檢測網(wǎng)絡(luò)中是否受該高危風(fēng)險(xiǎn)影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來獲得漏洞檢測能力，可以連接云端升級的用戶可自動(dòng)獲得漏洞檢測能力。