VMware 修复 View Planner中的严重RCE 漏洞

View Planner 是一款免费工具，用于对 Virtual Desktop Infrastructure 环境中的桌面客户端和服务器性能进行基准测试。该漏洞由 Positive Technologies 公司的 Web 应用安全专家 Mikhail Klyuchnikov 发现并报告。

VMware 公司发布安全公告指出，该漏洞的编号为 CVE-2021-12978，CVSS 评分为8.6。该漏洞可遭未认证攻击者用于复杂程度较低的攻击活动中且无需用户交互。该漏洞由因logupload web 应用中的输入验证不当和缺乏授权问题而引发的文件扩展验证不当造成。

成功利用早于 4.6 Security Patch 1 之前的 VMware View Planner 4.x 实例可导致远程攻击者通过特殊构造的 HTTP 请求上传任意文件。攻击者之后可执行所上传文件，在logupload 容器内在受陷服务器上运行任意的恶意代码。

上个月，VMware 还修复了由 Klyuchnikov 发现的另外一个严重的 RCE 漏洞 (CVE-2021-21972)，它位于 vCenter Server 插件中，影响所有的默认 vCenter Client 版本。

VMware 公司指出，“vSphere Client (HTML5) 的 vCenter Server 插件中包含一个远程代码执行漏洞。攻击者如具有对端口443的网络访问权限，则可利用该漏洞以不受限权限在托管 vCenter Server 的底层操作系统上执行命令。“

从 Shodan（6700台服务器）和 BinaryEdge（超过1.4万台服务器）搜索结果来看，互联网上仍然暴露着数千台未修复的 vCenter 服务器。安全研究员发布 PoC 利用代码的两天之内，攻击者就开始大规模地扫描易受攻击和在互联网上暴露的 VMware vCenter 服务器。