BDU:2021-04954: Уязвимость службы VAPI средства управления виртуальной инфраструктурой VMware vCenter Server, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Детали уязвимости BDU:2021-04954
Описание
Уязвимость службы VAPI средства управления виртуальной инфраструктурой VMware vCenter Server связана с недостатками разграничений контролируемой области системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации путем отправки специально созданных сообщений по протоколу удаленного вызова процедур JSON-RPC через порт 443
Что делать с BDU:2021-04954
Уязвимость среднего уровня (CVSS 7.5) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAV:N/AC:L/Au:N/C:P/I:N/A:NCVE — международный идентификатор
Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.
Как атакуют и что делать ▾
Сценарий атаки
Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.
Последствия
Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.
Рекомендации
Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.
Тактики и техники
Уязвимое ПО (7)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Broadcom Inc. | VMware Cloud Foundation | от 3.0 до 3.10.2.2 | Не указана |
| Broadcom Inc. | VMware vCenter Server | от 6.7 до 6.7 U3o | Не указана |
| Broadcom Inc. | VMware vCenter Server | от 6.5 до 6.5 U3q | Не указана |
| Broadcom Inc. | VMware vCenter Server | от 7.0 до 7.0 U2d | Не указана |
| Broadcom Inc. | VMware Cloud Foundation | от 4.0 до 4.3.1 | Не указана |
| Dell Technologies | VxRail | от 4.7.0 до 4.7.536 | Не указана |
| Dell Technologies | VxRail | от 4.5.0 до 4.5.463 | Не указана |
Рекомендации по устранению
Использование рекомендаций: Для программных продуктов VMware Inc.: https://www.vmware.com/security/advisories/VMSA-2021-0020.html Для программных продуктов Dell: https://www.dell.com/support/kbdoc/ru-ru/printview/000191991/10/en
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 7.5
Уточните SLA под вашу среду
Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2021-09-21
Опубликована
2021-10-13
Обновлена
2021-10-13
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость службы каталогов VMware Directory Service средства управления виртуальной инфраструктурой VMware vCenter Serv
Уязвимость сервера Syslog Server средства управления виртуальной инфраструктурой VMware vCenter Server, позволяющая нару
Уязвимость виртуального сетевого адаптера VMXNET3 гипервизора VMware ESX, позволяющая нарушителю выполнить произвольный
Уязвимость инструмента мониторинга виртуальной инфраструктуры VMware Aria Operations, платформ виртуализации VMware Clou
Уязвимость инструмента мониторинга виртуальной инфраструктуры VMware Aria Operations, платформ виртуализации VMware Clou
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.