Estimados Clientes,
El equipo de Ciberseguridad de Netglobalis informa que VMware publicó un nuevo boletín que advierte de hasta 19 vulnerabilidades en los dispositivos vCenter Server y Cloud Foundation que un atacante remoto podría explotar para tomar el control de un sistema afectado.
Un atacante podría aprovechar algunas de estas vulnerabilidades para tomar el control de un sistema afectado.
Aunque VMware ha publicado soluciones alternativas para las fallas, la compañía advirtió que están «destinadas a ser una solución temporal hasta que las actualizaciones puedan implementarse».
Afectaciones:
La lista completa de fallas parcheadas por el proveedor de servicios de virtualización es la siguiente:
- CVE-2021-22005 (puntuación CVSS: 9,8): vulnerabilidad de carga de archivos de vCenter Server
- CVE-2021-21991 (puntuación CVSS: 8,8): vulnerabilidad de escalamiento de privilegios locales de vCenter Server
- CVE-2021-22006 (puntuación CVSS: 8,3): vulnerabilidad de omisión del proxy inverso de vCenter Server
- CVE-2021-22011 (puntuación CVSS: 8.1): vulnerabilidad de punto final de API no autenticado del servidor vCenter
- CVE-2021-22015 (puntuación CVSS: 7.8): vulnerabilidades de escalada de privilegios locales de permisos incorrectos de vCenter Server
- CVE-2021-22012 (puntuación CVSS: 7,5): vulnerabilidad de divulgación de información de API no autenticada de vCenter Server
- CVE-2021-22013 (puntuación CVSS: 7.5): vulnerabilidad de cruce de ruta de archivo de vCenter Server
- CVE-2021-22016 (puntuación CVSS: 7,5): vCenter Server reflejó la vulnerabilidad XSS
- CVE-2021-22017 (puntuación CVSS: 7,3): vulnerabilidad de omisión de rhttpproxy de vCenter Server
- CVE-2021-22014 (puntuación CVSS: 7,2): vulnerabilidad de ejecución de código autenticado de vCenter Server
- CVE-2021-22018 (puntuación CVSS: 6,5): vulnerabilidad de eliminación de archivos de vCenter Server
- CVE-2021-21992 (puntuación CVSS: 6,5): vulnerabilidad de denegación de servicio al analizar XML de vCenter Server
- CVE-2021-22007 (puntuación CVSS: 5,5): vulnerabilidad de divulgación de información local de vCenter Server
- CVE-2021-22019 (puntuación CVSS: 5,3): vulnerabilidad de denegación de servicio de vCenter Server
- CVE-2021-22009 (puntuación CVSS: 5,3): vulnerabilidades múltiples de denegación de servicio de VAPI de vCenter Server
- CVE-2021-22010 (puntuación CVSS: 5,3): vulnerabilidad de denegación de servicio de vCenter Server VPXD
- CVE-2021-22008 (puntuación CVSS: 5,3): vulnerabilidad de divulgación de información de vCenter Server
- CVE-2021-22020 (puntuación CVSS: 5.0): vulnerabilidad de denegación de servicio del servicio de vCenter Server Analytics
- CVE-2021-21993 (puntuación CVSS: 4,3): vulnerabilidad SSRF de vCenter Server
Solución:
Se recomienda lo siguiente:
Estar atento a las posibles actualizaciones disponibles por parte de la compañía.