VMware vCenter Server 任意文件读取漏洞：CVE-2021-21980-低调大师

VMware vCenter Server 任意文件读取漏洞：CVE-2021-21980

2021-11-25 1005

报告编号：B6-2021-112501

报告来源：360CERT

报告作者：360CERT

更新日期：2021-11-25

漏洞简述

2021 年 11 月 25 日，360CERT 监测发现VMware发布了vCenter Server的安全更新，漏洞编号为CVE-2021-21980，漏洞等级：高危，漏洞评分：7.5。

VMware vCenterServer 提供了一个可伸缩、可扩展的平台，为虚拟化管理奠定了基础。VMware vCenter Server（以前称为 VMware VirtualCenter），可集中管理 VMware vSphere 环境，与其他管理平台相比，极大地提高了 IT 管理员对虚拟环境的控制。

对此，360CERT 建议广大用户及时将VMware vCenter Server升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	7.5

漏洞详情

CVE-2021-21980: VMware vCenter Server 文件读取漏洞

CVE: CVE-2021-21980

组件: VMware vCenter Server

漏洞类型: 文件读取

影响: 文件读取

简述: vSphere Web Client (FLEX/Flash) 包含一个未经授权的任意文件读取漏洞。对 vCenter Server 上的 443 端口具有网络访问权限的黑客可利用此漏洞来获取敏感信息。

影响版本

vCenter Server 6.7
vCenter Server 6.5
Cloud Foundation (vCenter Server) 3.x

修复建议

通用修补建议

根据影响版本中的信息，排查并升级到以下安全版本：

vCenter Server 6.7 U3p

https://customerconnect.vmware.com/en/downloads/details?downloadGroup=VC67U3P&productId=742&rPId=78421

vCenter Server 6.5 U3r

https://customerconnect.vmware.com/downloads/details?downloadGroup=VC65U3R&productId=614&rPId=74057

时间线

2021-11-23 VMware 发布 vCenter Server 安全更新

2021-11-25 360CERT 发布通告

参考链接

1、 https://www.vmware.com/security/advisories/VMSA-2021-0027.html

2、 https://docs.vmware.com/en/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3p-release-notes.html

3、 https://nvd.nist.gov/vuln/detail/CVE-2021-21980

微信关注我们

原文链接：https://www.oschina.net/news/170730

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

微软删除 WSATools 的原因公开，调整后将重新上架

两周前，我们曾报道了微软以“零解释”的方式将第三方 APK 安装程序 WSATools 从微软商店中删除的新闻。近日，WSATools 的开发者 Simone Franco 在他的博客中分享了他的应用程序被微软从商店中删除的原因。鉴于 Windows 11 已在 Beta 版本中支持安装 Android 应用，再加上目前商店中拥有的 Android 应用数量较少以及直接安装 APK 需要使用 adb 命令行工具这一繁琐的过程，Simone Franco 开发了 WSATools，WSATools 将 Android 应用的安装步骤简化到仅需双击下载好的 APK 文件即可，极大地提升用户体验。随后微软以“粗暴”的方式将 WSATools 从微软商店中删除引发了不小的争议，不过在事件发生后微软给开发者 Simone Franco 发送了一份致歉邮件，并说明了删除的理由。只不过当时的邮件内容并未被公开，我们也无从得知具体原因。近日，开发者 Simone Franco 在他的博客中对外公开了其中的原因，并表示微软下架的理由确实是正当的。首先，WSATools 在没有通过最初的微软认证检...

2021-11-25

519

1Vulnerability | 漏洞 Apache JSPWiki 多个安全漏洞 2Security Incident | 安全事件 GoDaddy hack导致数据泄露影响120万客户犹他州成像协会数据泄露影响583643名患者风力涡轮机巨头维斯塔斯的数据在网络攻击中受损 Squirrelwaffle 利用 ProxyShell 和 ProxyLogon 劫持电子邮件链英国政府警告数千家中小企业他们的在线商店遭到黑客攻击黑客滥用 Glitch 平台窃取凭证 Tardigrade黑客用秘密恶意软件瞄准大型制药疫苗制造商 APT-C-23 的 Android 间谍软件新变种 “肚脑虫”组织近期利用 Google 云盘分发新款恶意插件的攻击活动分析威胁组织利用 Tardigrade 恶意软件攻击疫苗生产基础设施

2021-11-25

615

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。