Datacenters over de hele wereld hebben iets nieuws om zich zorgen over te maken: een remote code-kwetsbaarheid in vCenter Server. De kwetsbaarheid wordt gevolgd onder de naam CVE-2021-21985 en heeft een ernstscore van 9,8 op 10.
VMware maakte de beveiligingsfout gisteren bekend en bracht ook meteen de bijbehorende patch uit. De fout bevindt zich in de vCenter Server, een tool waarmee het mogelijk is om de virtualisatie in grote datacenters te beheren.
vCenter Server wordt gebruikt om vSphere en ESXi host producten te beheren, wat volgens sommige ranglijsten de populairste en op een na populairste virtualisatie-oplossingen op de markt zijn.
Wat houdt de kwetsbaarheid in?
In zijn advies laat VMware weten dat vCenter machines die de standaard configuratie gebruiken een fout hebben die het mogelijk maakt om kwaadaardige code uit te voeren. Dit geldt alleen wanneer het apparaat bereikbaar is via een poort die is blootgesteld aan het internet.
“De vSphere Client (HTML5) bevat een remote code execution-kwetsbaarheid vanwege een gebrek aan input validatie in de Virtual SAN Health Check plugin, welke standaard is ingeschakeld in het vCenter Server”, luidt de boodschap vanuit VMware.
“Een kwaadwillende met netwerktoegang tot port 443 kan het probleem misbruiken om commando’s uit te voeren met onbeperkte privileges op het onderliggende besturingssysteem dat vCenter Server host”, legt VMware uit. Het bedrijf raadt aan om de patch zo snel mogelijk te installeren, aangezien de kwetsbaarheid serieuze gevolgen kan hebben”.
Installeer de patch zo snel mogelijk!
Volgens cijfers van Shodan, een IoT-zoekmachine, zijn er bijna 5600 public-facing vCenter machines. De meeste hiervan bevinden zich in grote datacenters en hosten terabytes aan gevoelige data. Shodan laat zien dat onder meer organisaties als Amazon, Hetzner Online GmbH en Google gebruik maken van vCenter-servers.
Dit is de tweede keer dat er een vCenter-kwetsbaarheid aan het licht komt met een ernstscore van 9,8. Afgelopen februari waarschuwde VMware zijn gebruikers ook al voor een kritieke bug. Destijds werd de kwetsbaarheid een dag na de bekendmaking al aangevallen vanuit minimaal zes verschillende bronnen.