VMware 多个产品 Log4j2 RCE（CVE-2021-44228）危级缝隙公告

颁布功夫 2021-12-13

缝隙注明 


Apache Log4j2是一款Apache软件基金会的开源基础框架,用于Java日志纪录的工具。日志纪录重要用来监督代码中变量的变动情况，周期性的纪录到文件中供其他利用进行统计分析工作；跟踪代码运行时轨迹，作为日后审计的凭据；担任集成开发环境中的调试器的作用，向文件或节造台打印代码的调试信息。其在JAVA生态环境中利用极其宽泛,影响巨大。


近日, Apache Log4j2 被爆存在远程代码执行缝隙（CVE-2021-44228），该缝隙一旦被攻击者利用会造成严沉风险。该缝隙的触发点在于利用org.apache.logging.log4j.Logger进行log或error等纪录操作时未对日志message信息进行有效查抄,从而导致缝隙产生。


VMware多多产品受此缝隙影响,宝运莱官方网站ADLab第一功夫测试并确认VMware vCenter6.5、VMware vCenter6.7、VMware vCenter7.0、VMware NSX受此缝隙的影响,可在未授权的情况下达到远程号令执行的成效。


缝隙注明.png


缝隙注明影响.png


 影响版本 


VMware官方颁布受此缝隙影响的产品列表如下所示:

VMware Horizon

VMware vCenter Server

VMware HCX

VMware NSX-T Data Center

VMware Unified Access Gateway

VMware WorkspaceOne Access

VMware Identity Manager

VMware vRealize Operations

VMware vRealize Operations Cloud Proxy

VMware vRealize Log Insight

VMware vRealize Automation

VMware vRealize Lifecycle Manager

VMware Telco Cloud Automation

VMware Site Recovery Manager

VMware Carbon Black Cloud Workload Appliance

VMware Carbon Black EDR Server

VMware Tanzu GemFire

VMware Tanzu Greenplum

VMware Tanzu Operations Manager

VMware Tanzu Application Service for VMs

VMware Tanzu Kubernetes Grid Integrated Edition

VMware Tanzu Observability by Wavefront Nozzle

Healthwatch for Tanzu Application Service

Spring Cloud Services for VMware Tanzu

Spring Cloud Gateway for VMware Tanzu

Spring Cloud Gateway for Kubernetes

API Portal for VMware Tanzu

Single Sign-On for VMware Tanzu Application Service

App Metrics

VMware vCenter Cloud Gateway

VMware Tanzu SQL with MySQL for VMs

VMware vRealize Orchestrator

VMware Cloud Foundation

 

 缝隙建复 


鉴于已经发现针对VMwarevCenter 蹬爪用的在野攻击利用,下面给出VMware官方的安全公告链接:

https://www.vmware.com/security/advisories/VMSA-2021-0028.html


针对Log4j2缝隙，VMware临时只给出了缝隙缓解措施,并未颁布安全补丁,能够参考建议对相应系统进行加固�；骨氤中刈⑵洳苟「�。