Elles permettent l’exécution de code à distance sur le système d’exploitation hôte en atteignant le port 443. VMware fournit des correctifs pour les versions 6.5, 6.7 et 7.0 de vCenter Server, logiciel de gestion des environnements VMware vSphere.
Si un attaquant atteint le port 443, il pourrait exécuter à distance n’importe quel code dans le plugin vSAN Health Check activé par défaut dans vCenter. Cette vulnérabilité CVE-2021-21985 (score 9,8) peut atteindre aussi utilisateurs n’utilisant pas vSAN, ce plug-in étant activité par défaut. Les contrôles du pare-feu sont la dernière ligne de défense pour les utilisateurs. « Les organisations qui ont placé leurs serveurs vCenter sur des réseaux directement accessibles depuis Internet devraient auditer leurs systèmes pour détecter tout compromis », a indiqué VMware.
La deuxième vulnérabilité, CVE-2021-21986 (score 6,5), permet potentiellement à un attaquant, ayant accès au même port, d’effectuer des actions autorisées par les plugins vSAN Health Check, Site Recovery, vSphere Lifecycle Manager et VMware Cloud Director Availability sans authentification.
« Compte tenu de la gravité, nous vous recommandons vivement d’agir », déclare dans un billet de blog, Bob Plankers, marketing technique chez VMware. Il recommande « fortement » aux utilisateurs d’appliquer les correctifs disponibles.
