Múltiples vulnerabilidades en VMware vRealize Operations

Según un comunicado emitido por el fabricante VMware el 2021-08-24, se detectaron múltiples vulnerabilidades. Los CVEs de las mismas son: CVE-2021-22022, CVE-2021-22023, CVE-2021-22024, CVE-2021-22025, CVE-2021-22026, CVE-2021-22027

Estas vulnerabilidades fueron informadas de forma privada a VMware y afectan al producto vRealize Operations.

Hay parches y soluciones alternativas disponibles para abordar estas vulnerabilidades en los productos VMware afectados.

En este artículo se informará todo lo necesario para un rápido entendimiento de la amenaza y poder tomar una pronta acción para la mitigación.

Criticidad de las vulnerabilidades

¿Cómo me afecta cada vulnerabilidad?

CVE-2021-22022: Un actor malintencionado con acceso administrativo a la API de vRealize Operations Manager puede leer cualquier archivo arbitrario en el servidor que lleve a la divulgación de información.

CVE-2021-22023: Un actor malintencionado con acceso administrativo a la API de vRealize Operations Manager puede modificar la información de otros usuarios, lo que lleva a una toma de control de la cuenta.

CVE-2021-22024: Un actor malintencionado no autenticado con acceso de red a la API de vRealize Operations Manager puede leer cualquier archivo de registro que resulte en la divulgación de información confidencial.

CVE-2021-22025: Un actor malintencionado no autenticado con acceso de red a la API de vRealize Operations Manager puede agregar nuevos nodos al clúster de vROps existente.

CVE-2021-22026 - CVE-2021-22027: Un actor malintencionado no autenticado con acceso de red a la API de vRealize Operations Manager puede realizar un ataque de falsificación de solicitud del lado del servidor que lleve a la divulgación de información.

¿Qué productos son afectados por estas vulnerabilidades?

• vRealize Operations Manager

• 7.5.0

• 8.0.0

• 8.0.1

• 8.1.0

• 8.1.1

• 8.2.0

• 8.3.0

• 8.4.0

• VMware Cloud Foundation (vROps)

• 3.x

• 4.x
  
  

• vRealize Suite Lifecycle Manager (vROps)

• 8.x

A continuación se explicará el procedimiento de solución para el producto vRealize Operations Manager y todas las versiones afectadas

Aplicación del hotfix

Antes de comenzar:

A. Tomar una snapshot sin memoria de la VM

B. Descargue el archivo PAK del parche de seguridad de vRealize Operations correspondiente a la versión afectada:

Nota: Una vez en la página (presionar en versión de parche para que sea redirigido allí) seleccione vRealize Operations Manager como Producto, seleccione la versión correspondiente y haga clic en Buscar. Allí aparecerá el parche indicado y presione “Descargar”

Una vez realizada la descarga del parche y tomado el snapshot, se deberá proseguir con los pasos detallados a continuación:

1. Inicie sesión en la interfaz de administrador de vRealize Operations Manager del nodo principal de su clúster en https://master-node-FQDN-or-IP-address/admin
   
   

2. Haga clic en Actualización de software en el panel izquierdo.
   
   

3. Haga clic en  Instalar una actualización de software  en el panel principal.
   
   

4. Siga los pasos del asistente para localizar e instalar su archivo PAK.
   
   

5. Instale el archivo PAK de actualización del producto.
   Espere a que se complete la actualización del software. Cuando lo hace, la interfaz de administrador cierra la sesión.
   
   

6. Vuelva a iniciar sesión en la interfaz de administrador del nodo principal.
   Aparece la página principal de estado del clúster y el clúster se conecta automáticamente. La página de estado también muestra el botón Poner en linea (Bring Online), pero no haga clic en él.
   
   

7. Borre las cachés del navegador y, si la página del navegador no se actualiza automáticamente, actualice la página.
   El estado del clúster cambia a Online. Cuando el estado del clúster cambia a Online, la actualización se completa.
   
   Nota: Si un clúster falla y el estado cambia a fuera de línea durante el proceso de instalación de una actualización de archivo PAK, algunos nodos dejarán de estar disponibles. Para solucionar este problema, puede acceder a la interfaz de administrador y desconectar manualmente el clúster y hacer clic en Finalizar instalación para continuar con el proceso de instalación.
   
   

8. Haga clic en  Actualización de software  para verificar que se haya realizado la actualización.
   Aparece un mensaje que indica que la actualización se completó correctamente en el panel principal.

Una vez que se complete la actualización, elimine las instantáneas que hizo antes de la actualización del software. En caso de que quiera volver al estado anterior, revertir el nodo de vROps al estado anterior con el snapshot tomado antes de realizar la actualización.

A continuación se explicará el procedimiento de solución para VMware Cloud Foundation (vROps) y vRealize Suite Lifecycle Manager (vROps). Corresponde a todas las versiones afectadas de los productos mencionados.

ACTUALIZACIÓN ONLINE

Los clientes cuyos dispositivos estén conectados a Internet recibirán notificaciones sobre el parche y podrán implementarlos sin problemas desde vRealize Suite Lifecycle Manager.

Nota : Si los parches no están visibles en  Configuración  >  Mapeo binario > Parches binarios . Siga los pasos a continuación:

1. Haga clic en  VERIFICAR PARCHES EN LÍNEA (CHECK PATCHES ONLINE)  desde  Configuración ->  Mapeo binario-> Parches binarios.

Nota:  Una vez que se complete la solicitud, verifique si los parches están disponibles.

2. Verifique si el parche de seguridad para la versión de vRealize Operations que desea descargar está en la lista; consulte en Configuración > Paquete de soporte del producto .

Nota : Los parches se enumerarán solo si vRealize Suite Lifecycle Manager es compatible con la versión de vRealize Operations requerida.

ACTUALIZACIÓN OFFLINE

Los clientes pueden descargar el paquete de parches sin conexión desde VMware Patch Portal  e implementar el parche mediante vRealize Suite Lifecycle Manager.Seleccione vRealize Suite Life Cycle Manager como el producto y vRealize en el menú desplegable. 

Luego descargue el archivo de parche y cárguelo en vRealize Suite Lifecycle Manager.

Links de referencia

VMSA-2021-0018

Clasificación de vulnerabilidad según VMware