0x01 漏洞简述
2021年03月31日，360CERT监测发现VMWare发布了VMSA-2021-0004的风险通告，漏洞编号为CVE-2021-21975,CVE-2021-21983，漏洞等级：高危，漏洞评分：8.6。
VMware vRealize Operations 可在由 AI 提供支持的统一平台中针对私有云、混合云和多云环境提供自动配置 IT 运维管理套件。
本次安全更新修复了一处服务端请求伪造漏洞，一处任意文件上传漏洞，值得注意的是者两处漏洞可以相互配合实现未通过身份验证情况下的远程代码执行。
对此，360CERT建议广大用户及时将vRealize升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 360CERT评分 | 8.6 |
0x03 漏洞详情
CVE-2021-21975: 服务器端请求伪造漏洞
CVE: CVE-2021-21975
组件: cloud_foundation,vrealize_suite_lifecycle_manager,vrealize_operations_manager
漏洞类型: 服务器端请求伪造
影响: 身份信息窃取、权限绕过
简述: 攻击者可以传递特定参数，使得服务端发起请求，该漏洞可以造成管理员身份信息窃取，以及绕过部分功能的权限控制。
CVE-2021-21983: 文件上传漏洞
CVE: CVE-2021-21983
组件: vrealize_suite_lifecycle_manager,cloud_foundation,vrealize_operations_manager
漏洞类型: 文件上传
影响: 特定情况下的远程代码执行、资源占用
0x04 影响版本
– vmware:vrealize_operations_manager: 8.0.0, 8.0.1, 8.3.0, 8.1.0, 8.1.1, 8.2.0, 7.5.0
– vmware:cloud_foundation: 4.x 3.x
– vmware:vrealize_suite_lifecycle_manager: 8.x
0x05 修复建议
通用修补建议
建议参考官方修复进行修复
该组件具备自动接受更新功能，在联网的情况下可以在管理后台进行升级。离线用户建议登录 VMWare 个人产品列表获取更新程序。
0x06 相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现vRealize具体分布如下图所示。
0x07 产品侧解决方案
360城市级网络安全监测服务
360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn)，通过资产测绘技术的方式，对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。
360安全分析响应平台
360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段，对该类漏洞的利用进行实时检测和阻断，请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。
0x08 时间线
2021-03-30 VMWare 发布安全更新
2021-03-31 360CERT发布通告
0x09 参考链接
0x0a 特制报告下载链接
一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。
VMWare vRealize SSRF、任意文件上传漏洞风险通告
若有订阅意向与定制需求请发送邮件至 g-cert-report#360.cn ，并附上您的 公司名、姓名、手机号、地区、邮箱地址。