B&B Bezpieczeństwo w biznesie
  • Start
  • O nas
  • Produkty
  • Usługi
    • Szkolenia
    • Audyt bezpieczeństwa informacji
      • Testy penetracyjne
      • Testy ataków socjotechnicznych
    • Audyt konfiguracji Fortigate
    • Program Cyfrowy Powiat
    • Prezentacje
    • Wdrożenia
  • Blog techniczny
  • Pomoc
  • Kariera
  • Kontakt

Firma VMware ostrzega klientów, aby natychmiast załatali krytyczną lukę związaną z przesyłaniem dowolnego pliku w usłudze Analytics – ma to bezpośredni wpływ na wszystkie urządzenia z domyślnymi wdrożeniami vCenter Server 6.7 i 7.0. Luka bezpieczeństwa może zostać wykorzystana przez atakujących do wykonywania poleceń i oprogramowania na niezałatanych wdrożeniach vCenter Server poprzez przesłanie specjalnie spreparowanego pliku. Krytyczna podatność w VMware vCenter Server (CVE-2021-22005), bez uwierzytelnienia można dostać się na serwer. Podatność otrzymała od producenta w zasadzie najwyższą „wycenę” krytyczności (9.8/10 w skali CVSSv3). Wykorzystanie tej podatności jest dosyć łatwe – bez logowania do oprogramowania można wykonywać polecania w OS – wystarczy jedynie wgrać złośliwy plik ( tj. webshell). Aby usunąć wszystkie ujawnione luki, firma Vmware opublikowała poprawki dla vCenter Server 7.0, 6.7 i 6,5. VMware zapewnia również obejście dla tych, którzy nie mogą natychmiast naprawić swoich urządzeń jako rozwiązanie tymczasowe. Po więcej szczegółowych informacji, zapraszam do dalszej części artykułu.

Pełna lista załatanych luk obejmuje:

CVE Description CVSSv3
CVE-2021-22005 vCenter Server file upload vulnerability 9.8
CVE-2021-21991 vCenter Server local privilege escalation vulnerability 8.8
CVE-2021-22006 vCenter Server reverse proxy bypass vulnerability 8.3
CVE-2021-22011 vCenter server unauthenticated API endpoint vulnerability 8.1
CVE-2021-22015 vCenter Server improper permission local privilege escalation vulnerabilities 7.8
CVE-2021-22012 vCenter Server unauthenticated API information disclosure vulnerability 7.5
CVE-2021-22013 vCenter Server file path traversal vulnerability 7.5
CVE-2021-22016 vCenter Server reflected XSS vulnerability 7.5
CVE-2021-22017 vCenter Server rhttpproxy bypass vulnerability 7.3
CVE-2021-22014 vCenter Server authenticated code execution vulnerability 7.2
CVE-2021-22018 vCenter Server file deletion vulnerability 6.5
CVE-2021-21992 vCenter Server XML parsing denial-of-service vulnerability 6.5
CVE-2021-22007 vCenter Server local information disclosure vulnerability 5.5
CVE-2021-22019 vCenter Server denial of service vulnerability 5.3
CVE-2021-22009 vCenter Server VAPI multiple denial of service vulnerabilities 5.3
CVE-2021-22010 vCenter Server VPXD denial of service vulnerability 5.3
CVE-2021-22008 vCenter Server information disclosure vulnerability 5.3
CVE-2021-22020 vCenter Server Analytics service denial-of-service Vulnerability 5.0
CVE-2021-21993 vCenter Server SSRF vulnerability 4.3

Rozwiązanie: 

Producent oprogramowania udostępnia nie tylko aktualizacje, lecz również obejście tej podatności. Cały proces jest opisany na stronie producenta, wymaga on edycji pliku tekstowego na urządzaniu wirtualnym i ponownego uruchomienia usług lub użycia skryptu udostępnionego przez VMware w celu usunięcia podatności.

Informacje od  producenta: VMware

Instrukcja obejścia podatności: VMware – instrukcja

Zespół B&B
Bezpieczeństwo w biznesie

Post Views: 489

VMware

Poprzedni artykułF-Secure Server Security 15.11Następny artykuł ESET PROTECT hotfix 8.1.13.2

Najnowsze

FortiMail 7.2.419 maja 2023
FortiAuthenticator 6.5.217 maja 2023
FortiManager 7.4.017 maja 2023

Kategorie

  • Acronis
  • Aktualności
  • Bez kategorii
  • ESET
  • F-Secure
  • FortiAnalyzer
  • FortiAP
  • FortiAuthenticator
  • FortiClient
  • FORTIGATE
  • FORTIMAIL
  • FortiManager
  • FortiNAC
  • FORTISWITCH
  • FortiWeb
  • NAKIVO
  • Qnap
  • Stormshield
  • Szkolenia
  • Veeam
  • VMware

Tagi

6.0.6 6.2.1 6.2.2 6.2.7 6.4.0 6.4.2 6.4.3 6.4.4 6.4.5 6.4.8 7.0.0 7.0.2 7.0.5 7.2.0 7.2.2 acronis Eset eset endpoint antivirus eset endpoint security ESET Protect ESET Protect Cloud F-Secure f-secure client security f-secure policy manager FMG FortiAnalyzer FortiAP fortiap-w2 FortiAuthenticator FortiClient FortiClientEMS FortiGate FortiMail FortiManager FortiNAC Fortinet FortiOS FortiSwitch FortiWeb Stormshield vCenter vCenter Server VMware vmware vcenter VMware vCenter Server

MENU

  • Start
  • O nas
  • Produkty
  • Usługi
    • Szkolenia
    • Audyt bezpieczeństwa informacji
      • Testy penetracyjne
      • Testy ataków socjotechnicznych
    • Audyt konfiguracji Fortigate
    • Program Cyfrowy Powiat
    • Prezentacje
    • Wdrożenia
  • Blog techniczny
  • Pomoc
  • Kariera
  • Kontakt

BLOG TECHNICZNY

FortiMail 7.2.419 maja 2023
FortiAuthenticator 6.5.217 maja 2023
FortiManager 7.4.017 maja 2023

KONTAKT

+48 500-413-313
biuro@b-and-b.plhttps://www.b-and-b.pl
8:00-16:00
RODO | POLITYKA PRYWATNOŚCI

BEZPIECZEŃSTWO W BIZNESIE 2023 - wszystkie prawa zastrzeżone

MENU

  • Start
  • O nas
  • Produkty
  • Usługi
    • Szkolenia
    • Audyt bezpieczeństwa informacji
      • Testy penetracyjne
      • Testy ataków socjotechnicznych
    • Audyt konfiguracji Fortigate
    • Program Cyfrowy Powiat
    • Prezentacje
    • Wdrożenia
  • Blog techniczny
  • Pomoc
  • Kariera
  • Kontakt

BLOG TECHNICZNY

FortiMail 7.2.419 maja 2023
FortiAuthenticator 6.5.217 maja 2023
FortiManager 7.4.017 maja 2023

Kontakt

+48 500-413-313
biuro@b-and-b.pl
8:00-16:00

Korzystamy z plików cookies lub podobnych technologii, by lepiej dopasować treści na stronie do Twoich potrzeb.
W każdej chwili możesz zmienić ustawienia cookies. Polityka prywatności

Akceptuję Odmów
  • About Cookies

    About Cookies

    Cookies are small text files that can be used by websites to make a user's experience more efficient. The law states that we can store cookies on your device if they are strictly necessary for the operation of this site. For all other types of cookies we need your permission. This site uses different types of cookies. Some cookies are placed by third party services that appear on our pages.
  • Necessary

    Necessary

    Always Active
    Necessary cookies help make a website usable by enabling basic functions like page navigation and access to secure areas of the website. The website cannot function properly without these cookies.
  • Marketing

    Marketing

    Marketing cookies are used to track visitors across websites. The intention is to display ads that are relevant and engaging for the individual user and thereby more valuable for publishers and third party advertisers.
  • Analytics

    Analytics

    Analytics cookies help website owners to understand how visitors interact with websites by collecting and reporting information anonymously.
  • Preferences

    Preferences

    Preference cookies enable a website to remember information that changes the way the website behaves or looks, like your preferred language or the region that you are in.
  • Unclassified

    Unclassified

    Unclassified cookies are cookies that we are in the process of classifying, together with the providers of individual cookies.