事件说明
据BleepingComputer 2月3日消息，法国计算机紧急响应小组(CERT-FR) 近日发出警告，攻击者正通过一个远程代码执行漏洞，对全球多地未打补丁的 VMware ESXi 服务器部署新型ESXiArgs 勒索软件。
据悉，该漏洞编号为CVE-2021-21974，由 OpenSLP 服务中的堆溢出问题引起，未经身份验证的攻击者可以此进行低复杂度攻击。该漏洞主要影响6.x 版和 6.7 版本之前的 ESXi 管理程序，2021年2月23日 ，VMware曾发布补丁修复了该漏洞。对于还未打补丁的服务器，须在管理程序上禁用易受攻击的服务定位协议 (SLP) 服务。
流量特征与检测
之前的文章分析了漏洞点 在 “目录代理通告“ 数据包中，结构如下所示
而代码对URL中的:/进行查找切分，但是URL的结束符是按照\x00判断的。
当后面的 Scope list length 值大于256时，前面一字节的值就不为\x00 导致URL字符串未判断结束，对:/的查找会一直继续到Scope list的值里面，下图上面部分是正常情况Scope list length小于256时为00xx，大于256时就是xxxx,对URL的查找会一直进行下去，导致堆溢出
流量特征如下，前面部分是指定SLP数据的类型为DA Advertisement和一些头部信息
下面的URL不存在:/ ，而且Scope List length大于了256，导致对URL的:/查找会继续到Scope list里面，最终导致堆溢出
知道了成因和对应特征，所以在流量测的简单检测可以对 SRVLOC协议数据中DA Advertisement调用的Scope List length字段判断大小是否大于256,同时URL不包含:/字符，同时Scope list 数据存在:/字符
官方修复建议
当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：
https://www.vmware.com/security/advisories/VMSA-2021-0002.html
其中各受影响版本升级到对应的修复版本：
ESXi7.0版本:升级到ESXi70U1c-17325551
ESXi6.7版本:升级到ESXi670-202102401-SG
ESXi6.5版本:升级到ESXi650-202102101-SG
Cloud Foundation 4.x版本：升级到4.2
Cloud Foundation 3.x版本：升级到3.10.1.2
临时修复建议
该临时修复建议存在一定风险，建议用户可根据业务系统特性审慎选择采用临时修复方案：
使用以下命令在ESXi主机上停止SLP服务：
/etc/init.d/slpd stop运行以下命令以禁用SLP服务且重启系统仍然生效：
esxcli network firewall ruleset set -r CIMSLP -e 0chkconfig slpd off运行此命令检查禁用SLP服务成功：文章来源：https://www.toymoban.com/news/detail-444046.html
chkconfig --list | grep slpd若输出slpd off则禁用成功。文章来源地址https://www.toymoban.com/news/detail-444046.html
到了这里，关于VMware ESXi OpenSLP 堆溢出漏洞（CVE-2021–21974）勒索事件的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
![[漏洞修复]Docker runc容器逃逸漏洞(CVE-2021-30465)](https://imgs.yssmx.com/Uploads/2024/02/526648-1.png)
