VMware 多個產品 Log4j2 RCE（CVE-2021-44228）危級漏洞通告
發布時間 2021-12-13漏洞說明
Apache Log4j2是一款Apache軟件基金會的開源基礎框架,用于Java日志記錄的工具。日志記錄主要用來監視代碼中變量的變化情況，周期性的記錄到文件中供其他應用進行統計分析工作；跟蹤代碼運行時軌跡，作為日后審計的依據；擔當集成開發環境中的調試器的作用，向文件或控制臺打印代碼的調試信息。其在JAVA生態環境中應用極其廣泛,影響巨大。
近日, Apache Log4j2 被爆存在遠程代碼執行漏洞（CVE-2021-44228），該漏洞一旦被攻擊者利用會造成嚴重危害。該漏洞的觸發點在于利用org.apache.logging.log4j.Logger進行log或error等記錄操作時未對日志message信息進行有效檢查,從而導致漏洞發生。
VMware眾多產品受此漏洞影響,啟明星辰ADLab第一時間測試并確認VMware vCenter6.5、VMware vCenter6.7、VMware vCenter7.0、VMware NSX受此漏洞的影響,可在未授權的情況下達到遠程命令執行的效果。
影響版本
VMware官方公布受此漏洞影響的產品列表如下所示:
VMware Horizon
VMware vCenter Server
VMware HCX
VMware NSX-T Data Center
VMware Unified Access Gateway
VMware WorkspaceOne Access
VMware Identity Manager
VMware vRealize Operations
VMware vRealize Operations Cloud Proxy
VMware vRealize Log Insight
VMware vRealize Automation
VMware vRealize Lifecycle Manager
VMware Telco Cloud Automation
VMware Site Recovery Manager
VMware Carbon Black Cloud Workload Appliance
VMware Carbon Black EDR Server
VMware Tanzu GemFire
VMware Tanzu Greenplum
VMware Tanzu Operations Manager
VMware Tanzu Application Service for VMs
VMware Tanzu Kubernetes Grid Integrated Edition
VMware Tanzu Observability by Wavefront Nozzle
Healthwatch for Tanzu Application Service
Spring Cloud Services for VMware Tanzu
Spring Cloud Gateway for VMware Tanzu
Spring Cloud Gateway for Kubernetes
API Portal for VMware Tanzu
Single Sign-On for VMware Tanzu Application Service
App Metrics
VMware vCenter Cloud Gateway
VMware Tanzu SQL with MySQL for VMs
VMware vRealize Orchestrator
VMware Cloud Foundation
漏洞修復
鑒于已經發現針對VMwarevCenter 等應用的在野攻擊利用,下面給出VMware官方的安全通告鏈接:
https://www.vmware.com/security/advisories/VMSA-2021-0028.html
針對Log4j2漏洞，VMware暫時只給出了漏洞緩解措施,并未發布安全補丁,可以參考建議對相應系統進行加固。還請繼續關注其補丁更新。
京公網安備11010802024551號