企业动态

    奇安信CERT

    致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

    近日，奇安信CERT监测到VMwarevCenterServer服务端请求伪造漏洞的PoC在互联网上公开。VMwarevCenterServer中存在服务端请求伪造漏洞（SSRF），未经授权的远程攻击者可以通过此漏洞对服务器进行SSRF攻击，造成服务端敏感信息泄露。该漏洞不同于11月23日官方发布的CVE-2021-21980VMwarevCenterServer任意文件读取漏洞及CVE-2021-22049VMwarevCenterServer服务端请求伪造漏洞通告。经奇安信CERT测试，在VMwarevCenterServer7.0.2.00100、7.0.2.00000版本中受到该漏洞影响，同时在6.7.0.45100、7.0.3.00200版本中测试不受此漏洞影响，客户可升级至官方最新版本以避免受此漏洞影响。

    当前漏洞状态

    漏洞描述

    近日，奇安信CERT监测到VMwarevCenterServer服务端请求伪造漏洞的PoC在互联网上公开。VMwarevCenterServer中存在服务端请求伪造漏洞（SSRF），未经授权的远程攻击者可以通过此漏洞对服务器进行SSRF攻击，造成服务端敏感信息泄露。该漏洞不同于11月23日官方发布的CVE-2021-21980VMwarevCenterServer任意文件读取漏洞及CVE-2021-22049VMwarevCenterServer服务端请求伪造漏洞通告。经奇安信CERT测试，在VMwarevCenterServer7.0.2.00100、7.0.2.00000版本中受此漏洞影响，同时在6.7.0.45100、7.0.3.00200版本中不受此漏洞影响，客户可通过检查服务端/etc/vmware/vsphere-ui/cm-service-packages/com.vmware.cis.vsphereclient.plugin/com.vmware.h4.vsphere.client-0.4.x.0/plugins/目录下是否存在h5-vcav-bootstrap-service.jar包的方式来自查安全状况，若存在则可升级至官方最新版本以避免受此漏洞影响。

    VMwarevCenter服务端请求伪造漏洞

    奇安信CERT已成功复现VMwarevCenterServer服务端请求伪造漏洞，复现截图如下：

    风险等级

    奇安信CERT风险评级为：高危

    风险等级：蓝色（一般事件）

    影响范围

    已测试版本：

    VMwarevCenter7.0.2.00100、7.0.2.00000

    处置建议

    客户可通过检查服务端/etc/vmware/vsphere-ui/cm-service-packages/com.vmware.cis.vsphereclient.plugin/com.vmware.h4.vsphere.client-0.4.x.0/plugins/目录下是否存在h5-vcav-bootstrap-service.jar包的方式来自查安全状况，若存在则可升级至官方最新版本以避免受此漏洞影响。

    产品解决方案

    奇安信网神网络数据传感器系统产品检测方案

    奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7099，建议用户尽快升级检测规则库至2112032300以后版本并启用该检测规则。

    奇安信网神智慧防火墙产品防护方案

    奇安信新一代智慧防火墙（NSG3000/5000/7000/9000系列）和下一代极速防火墙（NSG3500/5500/7500/9500系列）产品系列，已通过更新IPS特征库完成了对该漏洞的防护。建议用户尽快将IPS特征库升级至”2112032230”及以上版本并启用规则ID:4347301进行检测。

    奇安信天眼产品解决方案

    奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则，请将规则包升级到3.0.1204.13131上版本。规则名称：VMwarevCenter服务端请求伪造漏洞，规则ID：0x10020E2A。奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

    参考资料

    [1]https://customerconnect.vmware.com/downloads/get-download?downloadGroup=VC70U3

    时间线

    2021年12月4日，奇安信CERT发布安全风险通告

    到奇安信NOX-安全监测平台查询更多漏洞详情

    奇安信CERT长期招募安全研究员