Suivi KEV › VMware

CVE-2021-21985 VMware vCenter Server : validation incorrecte des entrées

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : VMware vCenter Server
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-20, CWE-470, CWE-918
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : VMware ESXi / vCenter

VMware vSphere Client contient une vulnérabilité de validation incorrecte des entrées dans le plug-in de vérification de santé Virtual SAN, qui est activé par défaut dans vCenter Server, ce qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • cloud foundation : versions ≥ 3.0 et < 3.10.2.1
  • cloud foundation : versions ≥ 4.0 et < 4.2.1
  • vcenter server : 51 versions, de 6.5 à 7.0-update2a

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Falsification de requête côté serveur (CWE-918) : Le serveur web reçoit une URL ou une requête similaire d'un composant amont et récupère le contenu de cette URL sans s'assurer suffisamment que la requête est envoyée à la destination attendue.
  • Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.
  • Sélection de classes ou de code via entrée externe (CWE-470) : Le produit utilise une entrée externe avec réflexion pour sélectionner les classes ou le code à utiliser, mais il ne prévient pas suffisamment que cette entrée sélectionne des classes ou du code inappropriés.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

VMware vCenter Server Improper Input Validation Vulnerability

VMware vSphere Client contains an improper input validation vulnerability in the Virtual SAN Health Check plug-in, which is enabled by default in vCenter Server, which allows for remote code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de VMware vCenter Server

  • CVE-2024-38813 — VMware vCenter Server : vulnérabilité d'élévation de privilèges (20 novembre 2024)
  • CVE-2024-38812 — VMware vCenter Server : dépassement de tampon dans le tas (20 novembre 2024)
  • CVE-2022-22948 — VMware vCenter Server : vulnérabilité de permissions de fichiers par défaut incorrectes (17 juillet 2024)
  • CVE-2023-34048 — VMware vCenter Server : vulnérabilité d'écriture hors limites (22 janvier 2024)
  • CVE-2021-22017 — VMware vCenter Server : contrôle d'accès incorrect (10 janvier 2022)
  • CVE-2021-22005 — VMware vCenter Server : vulnérabilité de téléversement de fichiers (3 novembre 2021)
  • CVE-2021-21972 — VMware vCenter Server : exécution de code à distance (3 novembre 2021)
  • CVE-2020-3952 — VMware vCenter Server : divulgation d'informations (3 novembre 2021)

← Toutes les failles VMware · Suivi KEV