Vulnerabilități critice ale VMware

    La sfârșitul lunii februarie 2021, VMware a publicat un aviz de securitate cu referire la trei vulnerabilități depistate în produsele sale, dintre care una este categorizată ca fiind critică. Acestea permit unui atacator să  obțină accesul deplin asupra sistemelor afectate, să execute codul de la distanță și să acceseze în mod ilegal diverse date cu caracter personal.
Cele trei vulnerabilități și caracteristicile specifice acestora sunt:
1.  CVE-2021-21972 – validarea incorectă a adreselor URL GET în vSphere Client (HTML5) a plugin-ului vCenter Server "vRealize Operations (vROPs)". Atacatorul poate prelua controlul asupra pluginului vulnerabil și executa comenzi către sistem, având acces la rețea de la distanță la portul 443, prin trimiterea unei cereri HTTP GET special concepute în acest sens.
2.  CVE-2021-21973 – o problemă în serviciul ESXi OpenSLP, care permite unui atacator cu acces la rețea la portul 427 să execute cod arbitrar în contextul ESXi.
3.  CVE-2021-21974 – validare incorectă în vSphere Client (HTML5) a pluginului vCenter Server. Permite unui atacator de la distanță cu acces la rețea la portul 443, să efectueze un atac Server Side Request Forgery (SSRF) pentru a obține acces la informații potențial confidențiale.        
   Conform informației prezentate de către VMware, sistemele afectate sunt:
- VMware ESXi;
- VMware vCenter Server (vCenter Server);
- VMware Cloud Foundation (Cloud Foundation).    
   Pentru vulnerabilități specifice VMware ESXi și vSphere Client (CVE-2021-21972; CVE-2021-21973),  până la lansarea actualizărilor necesare, VMware a furnizat pașii pentru ameliorarea problemelor care le puteţi găsi pe următorul link: https://kb.vmware.com/s/article/82374.
   În scopul eliminării riscurilor de securitate, Orange Moldova CERT recomandă aplicarea urgentă a patch-urilor și efectuarea actualizărilor disponibile, eliminarea interfețelor vCenter Server din perimetrul organizației, dacă se află acolo, precum și alocarea unui VLAN separat pentru acestea cu o listă de acces limitată în rețeaua internă.