CVE-2021-21978 VMware View Planner 遠端代碼執行漏洞通告 | 附 POC

漏洞簡介

VMware 是一家雲基礎架構和移動商務解決方案廠商，View Planner 是他旗下推出的一款針對view桌面的測試工具。2021年03月02日，VMware 官方披露了 CVE-2021-21978 VMware View Planner 遠端代碼執行漏洞。

VMware View Planner 的 web 上傳接口中

itrLogPath

參數未進行嚴格的校驗，允許攻擊者實施目錄穿越，将檔案上傳至任意目錄。

View Planner 在處理上傳檔案時，允許攻擊者上傳檔案至任意目錄，攻擊者通過構造請求實作遠端代碼執行，進而控制伺服器。

影響版本

• vmware:view_planner: 4.6

POC詳情

Twitter安全研究員已公開該漏洞POC

https://twitter.com/osama_hroot/status/1367258907601698816

修複建議

下載下傳漏洞修複更新檔：

https://my.vmware.com/web/vmware/downloads/details?downloadGroup=VIEW-PLAN-460&productId=1067&rPId=53394

參考連結

VMSA-2021-0003

https://www.vmware.com/security/advisories/VMSA-2021-0003.html