Перейти к основному содержанию
 

VMware — уязвимости CVE-2021-44228 и CVE-2021-45046 Log4j RCE

Information Seciurity

Паника в селе. Уязвимы почти все продукты VMware. Уязвимость CVE-2021-44228 в Apache: удалённое выполнение кода (Remote Code Execution).

10 баллов по шкале CVSSv3. Злоумышленник, имеющий сетевой доступ к затронутому продукту VMware, может получить полный контроль над системой. VMware подтверждает, что уже имели место попытки воспользоваться данной уязвимостью, эксплойт есть.

Уязвимые продукты:

  • VMware Horizon
  • VMware vCenter Server
  • VMware HCX
  • VMware NSX-T Data Center
  • VMware Unified Access Gateway
  • VMware WorkspaceOne Access
  • VMware Identity Manager
  • VMware vRealize Operations
  • VMware vRealize Operations Cloud Proxy
  • VMware vRealize Log Insight
  • VMware vRealize Automation
  • VMware vRealize Lifecycle Manager
  • VMware Telco Cloud Automation
  • VMware Site Recovery Manager, vSphere Replication
  • VMware Carbon Black Cloud Workload Appliance
  • VMware Carbon Black EDR Server
  • VMware Tanzu GemFire
  • VMware Tanzu Greenplum
  • VMware Tanzu Operations Manager
  • VMware Tanzu Application Service for VMs
  • VMware Tanzu Kubernetes Grid Integrated Edition
  • VMware Tanzu Observability by Wavefront Nozzle
  • Healthwatch for Tanzu Application Service
  • Spring Cloud Services for VMware Tanzu
  • Spring Cloud Gateway for VMware Tanzu
  • Spring Cloud Gateway for Kubernetes
  • API Portal for VMware Tanzu
  • Single Sign-On for VMware Tanzu Application Service
  • App Metrics
  • VMware vCenter Cloud Gateway
  • VMware vRealize Orchestrator
  • VMware Cloud Foundation
  • VMware Workspace ONE Access Connector
  • VMware Horizon DaaS
  • VMware Horizon Cloud Connector
  • VMware NSX Data Center for vSphere
  • VMware AppDefense Appliance
  • VMware Cloud Director Object Storage Extension
  • Telco Cloud Operations
  • (и это ещё не всё что вспомнили...)

Печально то, что патчи ещё не выпустили. Ждём.

Есть workaround:

https://kb.vmware.com/s/article/87081

Ссылки

https://www.vmware.com/security/advisories/VMSA-2021-0028.html

Update 15.12.2021

Продолжение истории, CVE-2021-45046.

Уязвимость CVE-2021-45046 независимо от использования флага "log4j2.noFormatMsgLookup" или шаблона "%m{nolookups}" позволяет злоумышленнику вызвать DOS для версии 2.15 или RCE для предыдущих версий. 3.7-10 баллов по шкале CVSSv3.

Log4j — вторая уязвимость CVE-2021-45046

Update 31.01.2022

Вышел патч для vCenter 7:

Обновление vCenter 7.0.3.00300 — log4j (CVE-2021-44228, CVE-2021-45046)

Update 8.02.2022

Вышел патч для vCenter 6.7:

Обновление vCenter 6.7.0.52000 — log4j (CVE-2021-44228, CVE-2021-45046)

 

Похожие материалы

Настройка SSL сертификатов CA на хосте ESXi, подключенном к vCenter 6.7

Привет, сегодня решим проблему с установкой корпоративного сертификата на ESXi host. Проблема в том, что хост управляется через vCenter.

vCenter 6.7 — устанавливаем свой сертификат

Каждый раз процесс установки сертификата на vСenter проходил у меня с какими-то проблемами. На этот раз тоже не обошлось без трудностей, однако, их удалось все преодолеть.

Ошибка при установке Secret Net 7 - не удаётся записать значение в раздел

При установке Secret Net 7 иногда может возникнуть ошибка вида "Не удаётся записать значение в раздел". Дальше идёт указание ветки реестра и значения, которое не удаётся записать. Ошибка наблюдалась на Windows 7 x64 (и x86), а также на Windows Server 2012 R2. Инсталлятор Secret Net 7 запускался от имени администратора. Изменение прав доступа к веткам реестра не помогло решению проблемы.