Vulnérabilité dans VCenter et Cloud Fondation de VMware

CVE-2021-21980[Score CVSS v3.1: 7.5]

Un chercheur du laboratoire ORZLab a identifié une vulnérabilité du type « accès aux données sensibles », celle-ci concerne le serveur VCenter et CloudFondation de l’entreprise VMware. 

Lorsque VSphere Web Client est installé sur un serveur VCenter, celui-ci permet à l’utilisateur d’accéder au serveur via une interface Web. Le chercheur a remarqué que la présence de cette composante sur le serveur permet de lire des données sensibles qui y sont stockées. En effet, il manque une protection contre la lecture des données sensibles.

Un attaquant distant et non-authentifié pourrait exploiter cette vulnérabilité, en utilisant des requêtes http malveillantes via l’interface web, afin de traverser des dossiers et atteindre des données sensibles. Selon le chercheur, l’attaquant peut profiter du port 443 pour pénétrer dans le réseau. Cependant, l’accomplissement de l’exploit permet uniquement une lecture des données sensibles. Cette vulnérabilité ne semble pas être exploitée pour le moment.