Vulnérabilité dans VCenter et Cloud Fondation de VMware

Date de publication :

CVE-2021-21980[Score CVSS v3.1: 7.5]
Un chercheur du laboratoire ORZLab a identifié une vulnérabilité du type « accès aux données sensibles », celle-ci concerne le serveur VCenter et CloudFondation de l’entreprise VMware. 

Lorsque VSphere Web Client est installé sur un serveur VCenter, celui-ci permet à l’utilisateur d’accéder au serveur via une interface Web. Le chercheur a remarqué que la présence de cette composante sur le serveur permet de lire des données sensibles qui y sont stockées. En effet, il manque une protection contre la lecture des données sensibles.

Un attaquant distant et non-authentifié pourrait exploiter cette vulnérabilité, en utilisant des requêtes http malveillantes via l’interface web, afin de traverser des dossiers et atteindre des données sensibles. Selon le chercheur, l’attaquant peut profiter du port 443 pour pénétrer dans le réseau. Cependant, l’accomplissement de l’exploit permet uniquement une lecture des données sensibles. Cette vulnérabilité ne semble pas être exploitée pour le moment.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Accès aux données sensibles (lecture uniquement)
  • Injection de requête http

Criticité

  • Score CVSS v3.1: 7.5

CVE

Composants vulnérables.

  • La version 6.5 de VMware vCenter Server est vulnérable.
  • La version 6.7 de VMware vCenter Server est vulnérable.
  • La version 3.x de VMware Cloud Foundation (vCenter) est vulnérable.

 

Solutions ou recommandations

 

 

Liens