Lỗ hổng VMware CVE-2021-22005 đang bị tin tặc khai thác hàng loạt

Các hacker đang nhắm mục tiêu vào các máy chủ VMware vCenter chưa được vá lỗ hổng thực thi mã từ xa (RCE) thông qua tải lên tệp tùy ý, rất nhiều máy chủ VMware vCenter đang mở công khai trên Internet

Lỗ hổng có mã CVE-2021-22005, do George Noseevich và Sergey Gerasimov của SolidLab LLC phát hiện và báo cáo, đã được phát hành bản vá cho lỗ hổng vào thứ Ba, ảnh hưởng đến tất cả các phiên bản vCenter Server 6.7 và 7.0 với cấu hình mặc định.

Lỗ hổng cho phép kẻ tấn công không cần xác thực có thể khai thác dễ dàng mà không cần sự tương tác của người dùng.

Quá trình rà quét đã diễn ra vài giờ sau khi bản vá được phát hành

Mặc dù mã khai thác chưa được công bố công khai, một số hoạt động rà quét các hệ thống bị ảnh hưởng đã được công ty Bad Packets phát hiện vài giờ sau khi VMware phát hành bản vá cho lỗ hổng.

Theo kết quả tìm kiếm từ công cụ Shodan, hiện tại có hàng nghìn máy chủ vCenter kết nối với Internet chưa được cài đặt bản vá có khả năng bị tấn công.

Kết quả tìm kiếm Máy chủ VMware vCenter dễ bị tấn công bằng Shodan

Đây không phải là lần đầu tiên các tác nhân đe dọa rà quét và tấn công các máy chủ VMware vCenter.

Vào tháng 2, những kẻ tấn công đã rà quét hàng loạt các thiết bị vCenter chưa được vá sau khi mã khai thác cho một lỗ hổng RCE nghiêm trọng khác (CVE-2021-21972) được công khai trên mạng. Lỗ hổng ảnh hưởng đến tất cả các vCenter được cài đặt mặc định.

Vào tháng 6, quá trình rà quét các máy chủ VMware vCenter tiếp tục diễn ra ngay sau khi mã khai thác cho lỗ hổng RCE CVE-2021-21985 được công khai.

VMware cảnh báo về các nguy cơ bị tấn công

Hôm qua, VMware đã cảnh báo về hàng loạt các hành động rà quét đang diễn ra, và kêu gọi người dùng nhanh chóng kiểm tra, cài đặt bản vá lỗ hổng CVE-2021-22005 sớm nhất có thể cho hệ thống của họ để tranh các nguy cơ bị tấn công.

VMware cho biết: “Lỗ hổng này có thể được khai thác bởi bất kỳ ai có thể truy cập vCenter Server qua mạng, bất kể cài đặt cấu hình của vCenter Server như thế nào”.

Công ty đã phát hành hướng dẫn khắc phục cho lỗ hổng bằng cách chỉnh sửa một tệp văn bản trên thiết bị ảo và khởi động lại dịch vụ theo cách thủ công hoặc sử dụng một tập lệnh để giải quyết lỗ hổng này .

VMware cũng xuất bản tài liệu chi tiết về các câu hỏi thường gặp chứa các thông tin bổ sung liên quan đến lỗ hổng CVE-2021-22005.

Nguồn: bleepingcomputer.com.