Kính gửi: Các đơn vị trực thuộc Bộ có hệ thống công nghệ thông tin
Vào ngày 25/05 vừa qua, VMware đã phát hành bản vá cho 02 lỗ hổng bảo mật (CVE-2021-21985, CVE-2021-21986) trong VMware vCenter Server, ảnh hưởng đến các phiên bản 6.5, 6.7, 7.0. Cụ thể như sau:
1. CVE-2021-21985
- Lỗ hổng tồn tại trong vSphere Client (HTML5) do thiếu xác thực đầu vào trong Virtual SAN Health Check plug-in được bật mặc định trong vCenter Server. Đối tượng tấn công có thể khai thác lỗ hổng từ xa mà không cần xác thực, tấn công dễ dàng với độ phức tạp thấp.
- Điểm CVSS: 9.8 (nghiêm trọng)
2. CVE-2021-21986
- Lỗ hổng tồn tại trong cơ chế xác thực vSphere cho Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager và VMware Cloud Director Availability plug-ins, cho phép đối tượng tấn công thực thi mã mà không cần xác thực.
- Điểm CVSS: 6.5 (trung bình)
3. Hướng dẫn khắc phục:
Cách tốt nhất để khắc phục lỗ hổng là cập nhật bản vá. Link tham khảo tại: https://www.vmware.com/security/advisories/VMSA-2021-0010.html
Trong trường hợp, chưa thể nâng cấp bản vá, có thể thực thiện biện pháp thay thế giảm thiểu. Các bước thực hiện có tại: https://kb.vmware.com/s/article/83829
Trung tâm Công nghệ thông tin xin gửi thông tin cảnh báo để Quý đơn vị kiểm tra, rà soát và nâng cấp bản vá kịp thời phòng tránh nguy cơ bị tấn công.
Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Trung tâm Công nghệ thông tin: Phòng Kỹ thuật hạ tầng, điện thoại 024.39439060, thư điện tử: phongktht@most.gov.vn.
Trân trọng./.
Tệp đính kèm: Công văn số 127/TTCNTT-KTHT