شرکت VMware ضعفی حیاتی (Critical) از نوع RCE (اجرای کد به صورت از راه دور) را در vCenter Server برطرف کرده که سوءاستفاده از آن به‌طور بالقوه کنترل سامانه آسیب‌پذیر را در اختیار مهاجم قرار می‌دهد.
به گزارش مرکز مدیریت راهبردی افتا به نقل از سایت vmware، به آسیب‌پذیری مذکور شناسه CVE-۲۰۲۱-۲۱۹۷۲ تخصیص داده شده است. سطح حساسیت آن نیز ۹,۸ از ۱۰ – بر طریق استاندارد CVSSv۳ – اعلام شده است.
اکسپلویت CVE-۲۰۲۱-۲۱۹۷۲ به‌صورت از راه دور و بدون نیاز به اصالت‌سنجی، با پیچیدگی کم ممکن گزارش شده است.
طبق توصیه‌نامه این شرکت، vSphere Client (HTML۵) شامل ضعفی در یک افزونه vCenter Server است. مهاجم با دسترسی شبکه‌ای به پورت ۴۴۳ قادر به اکسپلویت کردن آن و اجرای فرامین با سطح دسترسی نامحدود بر روی سیستم عامل میزبان vCenter Server خواهد بود.
این آسیب‌پذیری در اکتبر ۲۰۲۰ توسط شرکت Positive Technologies به‌طور خصوصی به VMware گزارش شده بود. پس ترمیم آن در ۵ اسفند و در پی آن انتشار حداقل دو نمونه اثبات‌گر (PoC)، جزییات فنی آن نیز در قالب لینک زیر از سوی Positive Technologies منتشر شد:

https://swarm.ptsecurity.com/unauth-rce-vmware/

به دلیل حساسیت بالا و ماهیت حیاتی این آسیب‌پذیری و از همه مهمتر انتشار جزییات فنی و نمونه‌های اثبات‌گر٬ ارتقای فوری vCenter Server به یکی از نسخ زیر توصیه می‌شود:

•     ۶,۵ U۳n
•     ۶,۷ U۳l
•     ۷,۰ U۱c

نسخ بالا، یک ضعف امنیتی “متوسط” (Moderate) با شناسه CVE-۲۰۲۱-۲۱۹۷۳ را نیز در vCenter Server برطرف می‌کنند.
همچنین VMware راهکار موقت (Workaround) زیر را برای آن دسته از راهبرانی که امکان ارتقای فوری vCenter Server را ندارند ارائه کرده است:

https://kb.vmware.com/s/article/۸۲۳۷۴

لازم به ذکر است که برخی منابع از پویش گسترده مهاحمان برای شناسایی سرورهای آسیب‌پذیر VMware بر روی اینترنت خبر داده‌اند که می‌تواند نشانه‌ای از مورد اکسپلویت قرار گرفتن CVE-۲۰۲۱-۲۱۹۷۲ در آینده‌ای نزدیک باشد.
۵ اسفند، VMware ضعفی “مهم” (Important) از نوع Heap-overflow با شناسه CVE-۲۰۲۱-۲۱۹۷۴ را نیز در VMware ESXi ترمیم کرد که سوءاستفاده از آن در شرایطی امکان اجرای کد به‌صورت از راه دور را ممکن می‌کند.
توصیه‌نامه VMware در لینک زیر قابل دریافت و مطالعه است:

https://www.vmware.com/security/advisories/VMSA-۲۰۲۱-۰۰۰۲.html

(با تشکر از شرکت مهندسی شبکه‌گستر برای همکاری در تهیه این گزارش)