Accueil > Alertes CERT-MC > AVIS CERTFR - 2021 - ALE - 011

AVIS CERTFR - 2021 - ALE - 011

Objet : Vulnérabilité dans VMware vCenter Server

Référence : CERTFR-2021-ALE-011

Risque(s)

- Exécution de code arbitraire à distance

Systèmes affectés

- vCenter Server versions 7.0 antérieures à 7.0 U2b
- vCenter Server versions 6.7 antérieures à 6.7 U3n
- vCenter Server versions 6.5 antérieures à 6.5 U3p
- Cloud Foundation (vCenter Server) versions 4.x antérieures à 4.2.1
- Cloud Foundation (vCenter Server) versions 3.x antérieures à 3.10.2.1

Résumé

Le 25 mai 2021, VMware a publié un correctif pour la vulnérabilité CVE-2021-21985 affectant le greffon Virtual SAN Health Check qui est installé par défaut dans vCenter Server.

L'exploitation de cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance avec un haut niveau de privilèges. De plus, des codes d'attaques sont disponibles publiquement pour la vulnérabilité CVE-2021-21985 et le CERT-FR a connaissance d'exploitations actives de celle-ci.

Le CERT-FR rappelle que les interfaces de gestion ne doivent pas être accessibles directement sur internet. Toutefois, le CERT-FR constate la disponibilité d'un certain nombre d'interfaces de gestion vCenter sur internet. A ce sujet, l'ANSSI a publié les guides suivants concernant l'accès sécurisé à distance :

- https://www.ssi.gouv.fr/administration/guide/recommandations-de-securite-pour-les-architectures-basees-sur-vmware-vsphere-esxi/ (pour ESXi 5)  
- https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/ (de portée plus générale)  

Contournement provisoire

Dans la foire au questions concernant l'avis VMSA-2021-0010 (cf. section Documentation), VMware déconseille la désactivation du greffon vSAN pour des périodes prolongées.

L'application du correctif est donc la seule solution pour se protéger efficacement contre la vulnérabilité CVE-2021-21985.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité VMware VMSA-2021-0010 du 25 mai 2021
https://www.vmware.com/security/advisories/VMSA-2021-0010.html  
- Foire aux questions VMware concernant l'avis VMware VMSA-2021-0010 du 25 mai 2021
https://core.vmware.com/resource/vmsa-2021-0010-faq  
- Avis de sécurité CERT-FR CERTFR-2021-AVI-403 du 26 mai 2021
https://www.cert.ssi.gouv.fr/avis/CERTFR-2021-AVI-403/  
- Bulletin d'actualité CERT-FR CERTFR-2021-ACT-023 du 31 mai 2021
https://www.cert.ssi.gouv.fr/actualite/CERTFR-2021-ACT-023/  
- Référence CVE CVE-2021-21985
http://cve.mitre.org/cgi-bin/cvename.cgi?name= CVE-2021-21985  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-011/  

 

 

AVIS CERTFR - 2021 - AVI - 461

14 juin 2021
actualite

Objet : Multiples vulnérabilités dans Microsoft EdgeRéférence : CERTFR-2021-AVI-461Risque(s)- Non spécifié par l'éditeurSystèmes affectés- Microsof... Lire la suite[+]

AVIS CERTFR - 2021 - AVI - 460

11 juin 2021
actualite

Objet : Multiples vulnérabilités dans Citrix HypervisorRéférence : CERTFR-2021-AVI-460Risque(s) - Exécution de code arbitraire à distance- Déni de... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93
Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-CERT-MC/AVIS-CERTFR-2021-ALE-011