VMware a publié un nouveau bulletin signalant pas moins de 19 vulnérabilités dans les appliances vCenter Server et Cloud Foundation qu'un attaquant distant pourrait exploiter pour prendre le contrôle d'un système affecté.

La plus urgente d'entre elles est une vulnérabilité de téléchargement de fichier arbitraire dans le service Analytics (CVE-2021-22005) qui impacte les déploiements de vCenter Server 6.7 et 7.0.

Ce problème peut être exploité par un acteur malveillant disposant d'un accès réseau au port 443 de vCenter Server pour exécuter du code sur vCenter Server en téléchargeant un fichier spécialement conçu.

Cette faille peut être utilisée par toute personne pouvant atteindre vCenter Server sur le réseau pour obtenir un accès, quels que soient les paramètres de configuration de vCenter Server.

Bien que VMware ait publié des mesures de contournement de la faille, la société a averti qu'il s'agissait d'une solution temporaire jusqu'à ce que des mises à jour puissent être déployées.

La liste complète des failles corrigées est la suivante :

· CVE-2021-22005 (CVSS score: 9.8): Vulnérabilité de téléchargement de fichiers de vCenter Server

· CVE-2021-21991 (CVSS score: 8.8): Vulnérabilité d’élévation de privilèges locaux de vCenter Server

· CVE-2021-22006 (CVSS score: 8.3): Vulnérabilité de contournement de proxy inverse de vCenter Server

· CVE-2021-22011 (CVSS score: 8.1): Vulnérabilité du point de terminaison API non authentifié de vCenter Server

· CVE-2021-22015 (CVSS score: 7.8): Vulnérabilité d'élévation de privilèges locaux liées à une permission inappropriée de vCenter Server

· CVE-2021-22012 (CVSS score: 7.5): Vulnérabilité de divulgation d'informations de l'API non authentifiée de vCenter Server

· CVE-2021-22013 (CVSS score: 7.5): Vulnérabilité de traversée de chemin de fichier (File traversal) de vCenter Server

· CVE-2021-22016 (CVSS score: 7.5): Vulnérabilité XSS reflétée (reflected XSS) de vCenter Server

· CVE-2021-22017 (CVSS score: 7.3): Vulnérabilité de contournement de rhttpproxy de vCenter Server

· CVE-2021-22014 (CVSS score: 7.2): Vulnérabilité d'exécution de code authentifié de vCenter Server

· CVE-2021-22018 (CVSS score: 6.5): Vulnérabilité de suppression de fichier de vCenter Server

· CVE-2021-21992 (CVSS score: 6.5): Vulnérabilité de déni de service de l'analyse XML de vCenter Server

· CVE-2021-22007 (CVSS score: 5.5): Vulnérabilité de divulgation d'informations locales de vCenter Server

· CVE-2021-22019 (CVSS score: 5.3): Vulnérabilité de déni de service de vCenter Server

· CVE-2021-22009 (CVSS score: 5.3): Vulnérabilités multiples de déni de service de vCenter Server VAPI

· CVE-2021-22010 (CVSS score: 5.3): Vulnérabilité de déni de service de VPXD de vCenter Server

· CVE-2021-22008 (CVSS score: 5.3): Vulnérabilité de divulgation d'informations de vCenter Server

· CVE-2021-22020 (CVSS score: 5.0): Vulnérabilité de déni de service du service Analytics de vCenter Server

· CVE-2021-21993 (CVSS score: 4.3): Vulnérabilité SSRF de vCenter Server

Il est vivement recommandé de rester vigilant et de suivre la prévention proposée par VMware et d'appliquer les correctifs une fois disponibles sur les produits vulnérables.