关键词 重大安全漏洞

　　2021年09月22日，360CERT监测发现VMware官方发布了VMware vCenter Server/VMware Cloud Foundation的风险通告。

　　称其产品 vCenter Server 和 Cloud Foundation 设备中存在多达 19 个安全漏洞，远程攻击者可以利用这些漏洞来控制受影响的系统。

　　VMware vCenter Server是VMware虚拟化管理平台，广泛的应用于企业私有云内网中。通过使用vCenter，管理员可以轻松的管理上百台虚拟化环境，同时也意味着当其被攻击者控制后会造成私有云大量虚拟化环境将被攻击者控制。

　　对此，安全圈建议广大用户及时将VMwarevCenterServer/VMwareCloudFoundation升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

　　VMware 修补的完整漏洞列表如下：

　　CVE-2021-22005（CVSS 评分：9.8）——vCenter Server 文件上传漏洞

　　CVE-2021-21991（CVSS 评分：8.8）——vCenter Server 本地提权漏洞

　　CVE-2021-22006（CVSS 评分：8.3）——vCenter Server 反向代理绕过漏洞

　　CVE-2021-22011（CVSS 评分：8.1）——vCenter 服务器未经身份验证的 API 端点漏洞

　　CVE-2021-22015（CVSS 评分：7.8）——vCenter Server 权限不当本地提权漏洞

　　CVE-2021-22012（CVSS 评分：7.5）——vCenter Server 未经身份验证的 API 信息泄露漏洞

　　CVE-2021-22013（CVSS 评分：7.5）——vCenter Server 文件路径遍历漏洞

　　CVE-2021-22016（CVSS 评分：7.5）——vCenter Server 反映了 XSS 漏洞

　　CVE-2021-22017（CVSS 评分：7.3）——vCenter Server rhttpproxy 绕过漏洞

　　CVE-2021-22014（CVSS 评分：7.2）——vCenter Server 身份验证代码执行漏洞

　　CVE-2021-22018（CVSS 评分：6.5）——vCenter Server 文件删除漏洞

　　CVE-2021-21992（CVSS 评分：6.5）——vCenter Server XML 解析拒绝服务漏洞

　　CVE-2021-22007（CVSS 评分：5.5）——vCenter Server 本地信息泄露漏洞

　　CVE-2021-22019（CVSS 评分：5.3）——vCenter Server 拒绝服务漏洞

　　CVE-2021-22009（CVSS 评分：5.3）——vCenter Server VAPI 多重拒绝服务漏洞

　　CVE-2021-22010（CVSS 评分：5.3）——vCenter Server VPXD 拒绝服务漏洞

　　CVE-2021-22008（CVSS 评分：5.3）——vCenter Server 信息泄露漏洞

　　CVE-2021-22020（CVSS 评分：5.0）——vCenter Server Analytics 服务拒绝服务漏洞

　　CVE-2021-21993（CVSS 评分：4.3）——vCenter Server SSRF 漏洞