Паника в селе. Уязвимы почти все продукты VMware. Уязвимость CVE-2021-44228 в Apache: удалённое выполнение кода (Remote Code Execution).
10 баллов по шкале CVSSv3. Злоумышленник, имеющий сетевой доступ к затронутому продукту VMware, может получить полный контроль над системой. VMware подтверждает, что уже имели место попытки воспользоваться данной уязвимостью, эксплойт есть.
Уязвимые продукты:
- VMware Horizon
- VMware vCenter Server
- VMware HCX
- VMware NSX-T Data Center
- VMware Unified Access Gateway
- VMware WorkspaceOne Access
- VMware Identity Manager
- VMware vRealize Operations
- VMware vRealize Operations Cloud Proxy
- VMware vRealize Log Insight
- VMware vRealize Automation
- VMware vRealize Lifecycle Manager
- VMware Telco Cloud Automation
- VMware Site Recovery Manager, vSphere Replication
- VMware Carbon Black Cloud Workload Appliance
- VMware Carbon Black EDR Server
- VMware Tanzu GemFire
- VMware Tanzu Greenplum
- VMware Tanzu Operations Manager
- VMware Tanzu Application Service for VMs
- VMware Tanzu Kubernetes Grid Integrated Edition
- VMware Tanzu Observability by Wavefront Nozzle
- Healthwatch for Tanzu Application Service
- Spring Cloud Services for VMware Tanzu
- Spring Cloud Gateway for VMware Tanzu
- Spring Cloud Gateway for Kubernetes
- API Portal for VMware Tanzu
- Single Sign-On for VMware Tanzu Application Service
- App Metrics
- VMware vCenter Cloud Gateway
- VMware vRealize Orchestrator
- VMware Cloud Foundation
- VMware Workspace ONE Access Connector
- VMware Horizon DaaS
- VMware Horizon Cloud Connector
- VMware NSX Data Center for vSphere
- VMware AppDefense Appliance
- VMware Cloud Director Object Storage Extension
- Telco Cloud Operations
- (и это ещё не всё что вспомнили...)
Печально то, что патчи ещё не выпустили. Ждём.
Есть workaround:
https://kb.vmware.com/s/article/87081
Ссылки
https://www.vmware.com/security/advisories/VMSA-2021-0028.html
Update 15.12.2021
Продолжение истории, CVE-2021-45046.
Уязвимость CVE-2021-45046 независимо от использования флага "log4j2.noFormatMsgLookup" или шаблона "%m{nolookups}" позволяет злоумышленнику вызвать DOS для версии 2.15 или RCE для предыдущих версий. 3.7-10 баллов по шкале CVSSv3.
Log4j — вторая уязвимость CVE-2021-45046
Update 31.01.2022
Вышел патч для vCenter 7:
Обновление vCenter 7.0.3.00300 — log4j (CVE-2021-44228, CVE-2021-45046)
Update 8.02.2022
Вышел патч для vCenter 6.7:
Обновление vCenter 6.7.0.52000 — log4j (CVE-2021-44228, CVE-2021-45046)
