VMware IT环境管理系统出现8.6分的重大漏洞,该公司发布公告

VMware在3月30日发布的公告,表示他们接获通报,并已修补好在vRealize Operation平台的漏洞。他们发现,这些漏洞恐怕会造成系统凭证的外泄,或任意文件写入操作系统的风险。

vRealize Operation Manager是监控虚拟环境的执行状况。因此,一旦有漏洞同时又被黑客滥用、发动攻击,就有可能造成重大影响。

这次影响vRealize的漏洞共2个,分别是CVE-2021-21975,CVE-2021-21983,其中CVE-2021-21975的漏洞,是在vRealize Operations Manager的API应用方式出了问题,其中潜藏了服务器端请求伪造(Server Side Request Forgery,SSRF)的弱点,攻击者可通过网络访问来执行服务器端的请求伪造攻击,以窃取系统管理的身份凭证(此处应为账号、密码,但也有可能为用户凭证,VMware并未更具体描述)。此漏洞的CVSS风险评分高达8.6,属于高度风险。

而另一个CVE-2021-21983则是任意文件写入的漏洞,通过系统身份验证的攻击者,可经由网络访问vRealize Operations Manager的API,之后,能在这套系统底层搭配的轻量Linux操作系统Photon其中,在任意位置写入文件。这个漏洞的CVSS风险评分也属于高度风险,分数有7.2。

整体而言,这两项漏洞,不只影响vRealize Operations Manager(7.5.0、8.0.1、8.1.1、8.2.0版),也牵连VMware Cloud Foundation(4.x和3.x版),以及vRealize Suite Lifecycle Manager(8.x版)。

发表评论