PT-2021-4330 · Vmware · Vcenter Server+1

George Noseevich + 2 · Publicado 2021-09-21 · Atualizado 2022-07-12 · CVE-2021-22008

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

vCenter Server (versões afetadas não especificadas)

Descrição

O vCenter Server apresenta uma falha de divulgação de informações no serviço VAPI (vCenter API). Um agente mal-intencionado com acesso de rede à porta 443 no vCenter Server pode explorar essa falha enviando uma mensagem JSON-RPC especialmente criada para obter acesso a informações confidenciais. Isso está relacionado a um controle de acesso insuficiente no sistema, permitindo que um invasor obtenha acesso não autorizado a informações protegidas enviando mensagens JSON-RPC especialmente criadas pela porta 443.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-200

CWE-668

Identificadores relacionados

BDU:2021-04954

CVE-2021-22008

ZDI-21-1107

Produtos afetados

Vmware Vcenter

Vcenter Server

Referências · 8

• https://t.me/cibsecurity/29299 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-22008 · Nota de Segurança
• https://vmware.com/security/advisories/VMSA-2021-0020.html · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-21-1107 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-22008 · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2021092118 · Nota
• https://dell.com/support/kbdoc/ru-ru/printview/000191991/10/en · Nota
• https://bdu.fstec.ru/vul/2021-04954 · Nota de Segurança