CVE-2021-21972 VMware vCenter Server 远程代码执行漏洞复现

一、漏洞背景

　　vSphere 是 VMware 推出的虚拟化平台套件，包含 ESXi、vCenter Server 等一系列的软件。其中 vCenter Server 为 ESXi 的控制中心，可从单一控制点统一管理数据中心的所有 vSphere 主机和虚拟机，使得 IT 管理员能够提高控制能力，简化入场任务，并降低 IT 环境的管理复杂性与成本。

　　vSphere Client（HTML5）在 vCenter Server 插件中存在一个远程执行代码漏洞。未授权的攻击者可以通过开放 443 端口的服务器向 vCenter Server 发送精心构造的请求，从而在服务器上写入 webshell，最终造成远程任意代码执行。

　　

　　简而言之：就是VMware这个套件有个Web管理界面，漏洞在一个未授权的上传接口，写入shell并执行命令。（所以严格意义上讲应该是上传漏洞，看过好几个文章叫法各异。无所谓了，明白原理就好）

二、影响范围

　　VMware vCenter Server 7.0系列 < 7.0.U1c
　　VMware vCenter Server 6.7系列 < 6.7.U3l
　　VMware vCenter Server 6.5系列 < 6.5 U3n
　　VMware ESXi 7.0系列 < ESXi70U1c-17325551
　　VMware ESXi 6.7系列 < ESXi670-202102401-SG
　　VMware ESXi 6.5系列 < ESXi650-202102101-SG

三、利用难度

　　容易；且危害较大

四、复现过程

　　1.

　　　　title="+ ID_VC_Welcome +"

　　2.访问未授权接口

　　　　/ui/vropspluginui/rest/services/updateova

　　返回状态码405：漏洞可能存在　　

　　

 

　　3.执行脚本

　　python CVE-2021-21972.py -url https://1.1.1.1

 　　

 

 　　冰蝎3连接

　　

 

 /usr/lib/vmware-sca/conf/sca.properties

 

　　https://github.com/QmF0c3UK/CVE-2021-21972-vCenter-6.5-7.0-RCE-POC 　　//poc
　　https://github.com/NS-Sp4ce/CVE-2021-21972 　　　　　　　　　　　　　　　 //exp

 

参考文章：
https://mp.weixin.qq.com/s/ovfH6niw8smOktmmoNxDdg
https://mp.weixin.qq.com/s/4eLgKuBpdXdT1cQBtzXl1w
https://mp.weixin.qq.com/s/tg64Hy8KECjYPHt98vBLcQ