Vulnerabilidades detectadas en productos VMware
Detalles técnicos
La vulnerabilidad CVE-2021-21985 clasificada como de “ejecución remota de código (RCE)” y de severidad “crítica”, es producida por un error en el VSphere Client (HTML5), debido a una falla en la validación de entrada en el complemento “Virtual SAN Health Check”, que está habilitado de forma predeterminada en vCenter Server.
Para poder ser explotada, se debe contar con acceso de red al puerto 443 del vCenter Server, pudiendo aprovecharlo para ejecutar comandos con privilegios ilimitados en el sistema operativo subyacente (host) que aloja el vCenter Server.
CVE | Severidad | Puntaje | Vector |
CVE-2021-21985 | Crítica | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Productos Afectados | Versiones |
vCenter Server | 6.5 |
vCenter Server | 6.7 |
vCenter Server | 7.0 |
Cloud Foundation (vCenter Server) | 3.x |
Cloud Foundation (vCenter Server) | 4.x |
La vulnerabilidad CVE-2021-21986, está catalogada como “moderada”, y en caso de ser explotada podría permitir realizar un bypass de autenticación en vSphere para los complementos Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager y VMware Cloud Director Availability.
Alguien con acceso de red al puerto 443 en vCenter Server puede realizar acciones permitidas por los complementos afectados sin autenticación.
CVE | Severidad | Puntaje | Vector |
CVE-2021-21986 | Moderada | 6.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Productos Afectados | Versiones |
vCenter Server | 6.5 |
vCenter Server | 6.7 |
vCenter Server | 7.0 |
Cloud Foundation (vCenter Server) | 3.x |
Cloud Foundation (vCenter Server) | 4.x |
Remediación
La remediación es a través de la instalación de las actualizaciones de cada producto, siguiendo las instrucciones del siguiente enlace.
Mitigación
Como medida temporal, VMware publicó un conjunto de soluciones temporales para cada una de las versiones afectadas, que se encuentran en el siguiente enlace.
Recomendaciones
En vista de la gravedad de las vulnerabilidades, recomendamos instalar lo antes posibles las actualizaciones de seguridad siguiendo las instrucciones y guías de VMware como se indica en el enlace.
Referencias
Guía de Actualización de Seguridad VMware