[CVE-2021-21972] Загрузка файлов без авторизации в VMware vSphere Client с удаленным выполнением кода (RCE)

Веб-клиент vSphere (HTML5) по сути является административным интерфейсом, который позволяет управлять установкой vSphere. Клиент vSphere предоставляет администратору доступ к основным функциям vSphere без необходимости прямого доступа к серверу vSphere. Он позволяет администраторам создавать новые виртуальные машины, управлять существующими и их ресурсами. Будучи кроссплатформенным веб-приложением, он может использоваться на всех поддерживаемых операционных системах через поддерживаемые версии различных веб-браузеров.

CVE-2021-21972 — это уязвимость загрузки файлов без авторизации в vCenter Server, которая приводит к удаленному выполнению кода на удаленном сервере. Проблема связана с отсутствием аутентификации в плагине vRealize Operations vCenter. Она получила критический балл CVSSv3 — 9.8 из 10.0. Неавторизованный удаленный злоумышленник может использовать эту уязвимость, загрузив специально созданный файл на уязвимую конечную точку vCenter Server, доступную извне. Уязвимости подвержены версии VMware vCenter Server 6.5, 6.7 и 7.0. Успешная эксплуатация этой уязвимости позволит злоумышленнику получить неограниченные привилегии удаленного выполнения кода (RCE) в базовой операционной системе vCenter Server. Несмотря на то, что эта уязвимость исходит от плагина vRealize Operations vCenter, уведомление VMware подтверждает, что этот плагин включен во все установки по умолчанию vCenter Server. Это означает, что уязвимая конечная точка доступна независимо от присутствия vRealize Operations.

В оригинальном посте в блоге здесь обнаружение уязвимости объяснено максимально подробно, а также описаны два отдельных пути достижения RCE. Для систем Windows злоумышленник может загрузить специально созданный файл .jsp, чтобы получить привилегии в базовой операционной системе. Для систем Linux злоумышленнику потребуется сгенерировать и загрузить открытый ключ в путь authorized_keys сервера, а затем подключиться к уязвимому серверу по SSH, чтобы получить привилегии пользователя . (если служба SSH запущена и доступна по сети)

@RequestMapping(value = {"/uploadova"}, method = {RequestMethod.POST}) public void uploadOvaFile(@RequestParam(value = "uploadFile", required = true) CommonsMultipartFile uploadFile, HttpServletResponse response) throws Exception { logger.info("Entering uploadOvaFile api"); int code = uploadFile.isEmpty() ? 400 : 200; PrintWriter wr = null; try { if (code != 200) { response.sendError(code, "Arguments Missing"); return; } wr = response.getWriter(); } catch (IOException e) { e.printStackTrace(); logger.info("upload Ova Controller Ended With Error"); } response.setStatus(code); String returnStatus = "SUCCESS"; if (!uploadFile.isEmpty()) try { logger.info("Downloading OVA file has been started"); logger.info("Size of the file received : " + uploadFile.getSize()); InputStream inputStream = uploadFile.getInputStream(); File dir = new File("/tmp/unicorn_ova_dir"); if (!dir.exists()) { dir.mkdirs(); } else { String[] entries = dir.list(); for (String str : entries) { File currentFile = new File(dir.getPath(), str); currentFile.delete(); } logger.info("Successfully cleaned : /tmp/unicorn_ova_dir"); } TarArchiveInputStream in = new TarArchiveInputStream(inputStream); TarArchiveEntry entry = in.getNextTarEntry(); List<String> result = new ArrayList<String>(); while (entry != null) { if (entry.isDirectory()) { entry = in.getNextTarEntry(); continue; } File curfile = new File("/tmp/unicorn_ova_dir", entry.getName()); File parent = curfile.getParentFile(); if (!parent.exists()) parent.mkdirs(); OutputStream out = new FileOutputStream(curfile); IOUtils.copy((InputStream)in, out); out.close(); result.add(entry.getName()); entry = in.getNextTarEntry(); } in.close(); logger.info("Successfully deployed File at Location :/tmp/unicorn_ova_dir"); } catch (Exception e) { logger.error("Unable to upload OVA file :" + e); returnStatus = "FAILED"; } wr.write(returnStatus); wr.flush(); wr.close(); }

CVE-2021-21972

Популярное