針對(duì)前天VMware修補(bǔ)的一個(gè)關(guān)鍵的任意文件上傳漏洞，黑客團(tuán)體正在針對(duì)全球未修補(bǔ)的暴露于互聯(lián)網(wǎng)的VMware vCenter服務(wù)器，該漏洞會(huì)導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
被定義為CVE-2021-22005（CVSS 3.1嚴(yán)重性等級(jí)為9.8/10）的高危安全漏洞，會(huì)影響所有具有默認(rèn)配置的VMware vCenter Server6.7和7.0部署。攻擊者可以利用該安全漏洞通過(guò)上傳特制文件在未修補(bǔ)的vCenter Server部署上執(zhí)行命令和軟件。
該漏洞由SolidLab LLC的George Noseevich和 Sergey Gerasimov報(bào)告，未經(jīng)身份驗(yàn)證的攻擊者可以在低復(fù)雜度攻擊中遠(yuǎn)程利用它，而無(wú)需用戶交互。
補(bǔ)丁發(fā)布后數(shù)小時(shí)黑客就開(kāi)始掃描
雖然漏洞利用代碼尚未公開(kāi)，但威脅情報(bào)公司Bad Packets已經(jīng)發(fā)現(xiàn)了正在進(jìn)行的掃描活動(dòng) ，其中一些VMware蜜罐記錄了攻擊者在VMware發(fā)布安全更新幾個(gè)小時(shí)后探測(cè)關(guān)鍵漏洞的存在。
“從116[.]48.233.234檢測(cè)到CVE-2021-22005掃描活動(dòng)，”Bad Packets在今天早些時(shí)候發(fā)推文，后來(lái)補(bǔ)充說(shuō)，掃描使用的是VMware為無(wú)法立即修補(bǔ)其設(shè)備的客戶提供的解決方法信息。
根據(jù)用于聯(lián)網(wǎng)設(shè)備的Shodan搜索引擎，目前，數(shù)以千計(jì)的潛在易受攻擊的 vCenter服務(wù)器可通過(guò)互聯(lián)網(wǎng)訪問(wèn)并受到攻擊 。
易受攻擊的VMware vCenter服務(wù)器 （Shodan）
這不是黑客第一次掃描和攻擊易受攻擊的VMware vCenter服務(wù)器。
今年2月， 在安全研究人員發(fā)布了另一個(gè)影響所有默認(rèn)vCenter安裝的關(guān)鍵 RCE 安全漏洞 （CVE-2021-21972） 的概念驗(yàn)證 （PoC） 漏洞利用代碼后，黑客大規(guī)模掃描了未打補(bǔ)丁的vCenter設(shè)備。
今年6月，在線發(fā)布漏洞利用代碼后，黑客開(kāi)始掃描暴露于互聯(lián)網(wǎng)的VMware vCenter服務(wù)器，這些服務(wù)器容易受到CVE-2021-21985 RCE漏洞的攻擊。
VMware警告即將到來(lái)的利用嘗試
這些正在進(jìn)行的掃描是在VMware前天發(fā)布的警告之后進(jìn)行的，對(duì)此我們以強(qiáng)調(diào)盡快針對(duì)CVE-2021-22005漏洞修補(bǔ)服務(wù)器的重要性。
VMware技術(shù)營(yíng)銷架構(gòu)師Bob Plankers表示： “無(wú)論vCenter Server的配置設(shè)置如何，任何可以通過(guò)網(wǎng)絡(luò)訪問(wèn)vCenter Server以獲取訪問(wèn)權(quán)限的人都可以利用此漏洞 。”
“在這個(gè)勒索軟件時(shí)代，最安全的做法是假設(shè)攻擊者已經(jīng)在您的網(wǎng)絡(luò)中某處，在桌面上，甚至可能控制著用戶帳戶，這就是為什么我們強(qiáng)烈建議您盡快宣布緊急更改和修補(bǔ)程序?！?/p>
該公司提供了一種臨時(shí)解決方法， 要求管理員編輯虛擬設(shè)備上的文本文件并手動(dòng)重新啟動(dòng)服務(wù)或使用腳本刪除漏洞利用向量。
VMware還發(fā)布了一份詳細(xì)的FAQ文檔，其中包含有關(guān)CVE-2021-22005 缺陷漏洞的其他問(wèn)題和答案。
“立即修復(fù)！此漏洞的后果很嚴(yán)重，并且在公開(kāi)可用的漏洞利用之前可能是時(shí)間問(wèn)題 - 可能是幾分鐘后，” VMware補(bǔ)充道。
“隨著勒索軟件的威脅如今迫在眉睫，最安全的立場(chǎng)是假設(shè)攻擊者可能已經(jīng)通過(guò)使用網(wǎng)絡(luò)釣魚(yú)或魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)等技術(shù)控制了桌面和用戶帳戶并采取相應(yīng)行動(dòng)。
”這意味著攻擊者可能已經(jīng)能夠從企業(yè)防火墻內(nèi)部訪問(wèn)vCenter Server，時(shí)間至關(guān)重要。“
