bigbroke/cve-2021-21985Mehrere Schwachstellen im vSphere Client (HTML5) wurden privat an VMware gemeldet. Updates und Workarounds stehen zur Verfügung, um diese Schwachstellen in betroffenen VMware-Produkten zu beheben.
Der vSphere Client (HTML5) enthält eine Remote-Codeausführung-Sicherheitslücke aufgrund fehlender Eingabevalidierung im Virtual SAN Health Check-Plug-in, das in vCenter Server standardmäßig aktiviert ist. VMware hat den Schweregrad dieses Problems als kritisch eingestuft, mit einem maximalen CVSSv3-Basiswert von 9,8.
Ein böswilliger Akteur mit Netzwerkzugriff auf Port 443 kann dieses Problem ausnutzen, um Befehle mit uneingeschränkten Berechtigungen auf dem zugrunde liegenden Betriebssystem auszuführen, das vCenter Server hostet.
