VMware是一家云基础架构和移动商务解决方案厂商，提供基于VMware的虚拟化解决方案。VMware ESXi是用于创建和运行虚拟机的虚拟化平台，VMware vCenter Server 是一种服务，充当连接到网络的 ESXi 主机的中心管理员。VMware vCenter Server提供了一个集中式可扩展平台来管理虚拟基础架构，vCenter Server 可管理VMware vSphere 环境，同时vCenter Server还指导虚拟机和虚拟机主机（ESXi 主机）上的操作。

5月25日,VMware发布了安全更新,修复了VMware虚拟化解决方案中发现的远程代码执行等重要漏洞。以下是漏洞详情:

漏洞详情

来源: /security/advisories/VMSA-2021-?spm=a2c4g..

-2021-21985 CVSS评分: 严重程度:高

由于Virtual SAN运行状况检查插件中缺少输入验证，因此vSphere Client（HTML5）包含一个远程执行代码漏洞，该插件在vCenter Server中已默认启用。具有网络访问端口443的恶意行为者可能会利用此问题在托管vCenter Server的基础操作系统上以不受限制的特权执行命令。

-2021-21986 CVSS评分: 严重程度:中

vSphere Client（HTML5）在vSphere身份验证机制中包含针对Virtual SAN运行状况检查，站点恢复，vSphere Lifecycle Manager和VMware Cloud Director可用性插件的漏洞。可以通过网络访问vCenter Server上端口443的恶意角色可能会执行受影响的插件所允许的操作，而无需进行身份验证。攻击者可构造恶意请求，通过vCenter中的默认开启的Virtual SAN Health Check插件从而造成远程代码执行漏洞。

受影响的产品和版本

VMware vCenter Server 系列 之前版本

VMware vCenter Server 系列 之前版本

VMware vCenter Server 系列 U3p之前版本

VMware Cloud Foundation 系列 之前版本

VMware Cloud Foundation 系列 .1之前版本

解决方案

VMware vCenter Server 系列升级至

VMware vCenter Server 系列升级至

VMware vCenter Server 系列升级至 U3p

VMware Cloud Foundation 系列升级至

VMware Cloud Foundation 系列升级至.1

查看更多漏洞信息 以及升级请访问官网:

/security/