VMware đã giải quyết nhiều lỗ hổng thực thi mã từ xa (RCE) quan trọng trong nền tảng quản lý cơ sở hạ tầng ảo VMware ESXi và vSphere Client có thể cho phép kẻ tấn công thực hiện các lệnh tùy ý và kiểm soát các hệ thống bị ảnh hưởng.
“Tác nhân độc hại có quyền truy cập mạng vào cổng 443 có thể khai thác vấn đề này để thực thi các lệnh với các đặc quyền không hạn chế trên hệ điều hành cơ bản lưu trữ vCenter Server”, công ty nói trong lời khuyên của nó.
Lỗ hổng bảo mật, được theo dõi là CVE-2021-21972, có điểm CVSS là 9,8 trên tổng số tối đa 10, khiến nó trở nên nghiêm trọng về mức độ nghiêm trọng.
Mikhail Klyuchnikov của Positive Technologies, người đã phát hiện và báo cáo lỗ hổng này cho VMware, cho biết: “Theo quan điểm của chúng tôi, lỗ hổng RCE trong vCenter Server có thể gây ra mối đe dọa không kém so với lỗ hổng nổi tiếng trong Citrix (CVE-2019-19781).
“Lỗi này cho phép người dùng trái phép gửi một yêu cầu được chế tạo đặc biệt, sau đó sẽ cho họ cơ hội thực hiện các lệnh tùy ý trên máy chủ.”
Với quyền truy cập này, kẻ tấn công sau đó có thể di chuyển thành công qua mạng công ty và truy cập vào dữ liệu được lưu trữ trong hệ thống dễ bị tấn công, chẳng hạn như thông tin về máy ảo và người dùng hệ thống, Klyuchnikov lưu ý.
Riêng biệt, lỗ hổng thứ hai (CVE-2021-21973, điểm CVSS 5,3) cho phép người dùng trái phép gửi yêu cầu POST, cho phép kẻ thù thực hiện các cuộc tấn công tiếp theo, bao gồm khả năng quét mạng nội bộ của công ty và truy xuất thông tin chi tiết về các cổng mở của nhiều các dịch vụ.
Theo VMware, vấn đề tiết lộ thông tin bắt nguồn từ một lỗ hổng SSRF (Server Side Request Forgery) do xác thực URL trong plugin vCenter Server không đúng cách.
VMware cũng đã cung cấp các giải pháp thay thế để khắc phục tạm thời CVE-2021-21972 và CVE-2021-21973 cho đến khi các bản cập nhật có thể được triển khai. Các bước chi tiết có thể được tìm thấy đây.
Cần lưu ý rằng VMware đã khắc phục lỗ hổng chèn lệnh trong sản phẩm vSphere Replication của mình (CVE-2021-21976, Điểm CVSS 7.2) vào đầu tháng này có thể cấp cho một tác nhân xấu đặc quyền quản trị để thực hiện các lệnh shell và đạt được RCE.
Cuối cùng, VMware cũng đã giải quyết lỗi tràn đống (CVE-2021-21974, điểm CVSS 8,8) trong giao thức vị trí dịch vụ (SLP) của ESXi, có khả năng cho phép kẻ tấn công trên cùng một mạng gửi các yêu cầu SLP độc hại đến thiết bị ESXi và chiếm quyền kiểm soát của nó.
OpenSLP cung cấp một khuôn khổ để cho phép các ứng dụng mạng phát hiện ra sự tồn tại, vị trí và cấu hình của các dịch vụ nối mạng trong mạng doanh nghiệp.
Bản sửa lỗi mới nhất cho ESXi OpenSLP xuất hiện sau một bản vá tương tự (CVE-2020-3992) tháng 11 năm ngoái có thể được tận dụng để kích hoạt sử dụng sau khi miễn phí trong dịch vụ OpenSLP, dẫn đến thực thi mã từ xa.
Không lâu sau, các báo cáo về các nỗ lực khai thác tích cực xuất hiện trong tự nhiên, với các băng nhóm ransomware lạm dụng lỗ hổng để tiếp quản các máy ảo chưa được vá được triển khai trong môi trường doanh nghiệp và mã hóa ổ cứng ảo của chúng.
Người dùng đặc biệt khuyến nghị rằng người dùng nên cài đặt các bản cập nhật để loại bỏ rủi ro liên quan đến các sai sót, ngoài việc “xóa các giao diện vCenter Server khỏi phạm vi tổ chức, nếu chúng ở đó và phân bổ chúng vào một VLAN riêng biệt với danh sách truy cập hạn chế mạng nội bộ.”
