本週VMware修補三項產品漏洞，包括 vCenter RCE漏洞 。企業最好立即修補，因為 安全廠商觀察到 網路上已經出現掃瞄活動，可能是攻擊前兆。

本週VMware修補的三項漏洞中，以Positive Technologies研究人員Mikhail Klyuchnikov通報的CVE-2021-21972最危險。這項漏洞出在vSphere Client (HTML5)於vCenter的外掛軟體上，攻擊者若具備port 443網路存取權限，即可向vCenter Server發送呼叫，進而在底層OS上寫入webshell，以最高權限執行任意指令。vCenter是VMWare管理資料中心內所有實體及虛擬機器的統一管理軟體。

CVE-2021-21972漏洞在CVSS 3.1風險評分表達到9.8分，屬於重大風險漏洞，影響產品包括vCenter Server6.5、6.7、7.0.1，及混合雲平台Cloud Foundation 3.x和 4.x版。VMware已經釋出更新版本。

週四安全廠商 Bad Packet表示 ，已偵測到網路上有針對未修補的vCenter伺服器的大規模掃瞄活動。

早在VMware修補此一漏洞同時， Bleeping Computer報導 ，去年10月Positive Technologies就發現漏洞，但僅通報VMware，直到網路上已出現至少有2款概念驗證攻擊（Proof-of-Concept）攻擊程式，促使他們提前公佈。

ZDNet報導 ，一度有 6,700台vCenter伺服器連上網路。透過Shodan搜尋引擎掃瞄，目前也有900多台。

VMware本週修補的另外二項漏洞，分別是vCenter Server外掛vRealize Operations (vROps) 上的伺服器端請求偽造（Server Side Request Forgery）漏洞CVE-2021-21973，以及虛擬化平台ESXi當中Open SLP服務的堆積緩衝溢位（heap-overflow）漏洞CVE-2021-21974，風險層級各為5.3及8.8。