VMware View Planner远程代码执行缝隙（CVE-2021-21978）

颁布功夫 2021-03-03

0x00 缝隙概述

CVE  ID

CVE-2021-21978

时   间

2021-03-03

类   型

 RCE

等   级

高危

远程利用

是

影响领域

VMware View Planner   4.6

 

0x01 缝隙详情

image.png

View planner 是VMware官方推出的一款针对view桌面的测试工具，能够通过它估算出在指定的利用环境下能够颁布几多个view桌面，其性质上是一个使用centos的linux虚构机。

2021年03月02日，VMware官方颁布更新布告，建复了View Planner中的一个远程代码执行缝隙（CVE-2021-21978），其CVSS评分8.6。

由于不正确的输入验证和不足授权，能够在logupload web利用法式中上传肆意文件。可能接见View Planner Harness的攻击者能够上传并执行恶意文件，最终在logupload容器内远程执行代码。

 

0x02 措置建议

目前VMware已经颁布了建复法式，建议实时装置View Planner 4.6 Security Patch 1。

下载链接：

https://my.vmware.com/web/vmware/downloads/details?downloadGroup=VIEW-PLAN-460&productId=1067&rPId=53394

 

0x03 参考链接

https://www.vmware.com/security/advisories/VMSA-2021-0003.html

https://docs.vmware.com/en/VMware-View-Planner/4.6/rn/VMware-View-Planner-46-Release-Notes.html#patch-releases-2

https://cve.mitre.org/cgi-bin/cvename.cgi?name=VE-2021-21978

 

0x04 功夫线

2021-03-02  Vmware颁布安全布告

2021-03-03  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png