一、 基本情况

vCenter Server是VMware vSphere虚拟化架构的核心管理组件，为ESXI主机和虚拟机提供管理服务，通过vCenter Server可以集中管理多台ESXI主机和虚拟机。

二、 漏洞描述

由于vCenter Server在DCE/RPC（分布式计算环境/远程过程调用）协议的实施过程中存在多个堆溢出漏洞，具有vCenter Server 网络访问权限的远程威胁者可发送特制网络数据包来触发这些漏洞，成功利用可能导致远程代码执行。

此外，vCenter Server中还修复了权限提升漏洞（CVE-2024-37081，CVSS评分7.8），由于sudo 配置错误，vCenter Server中存在多个本地提权漏洞，经过身份验证的本地威胁者可利用漏洞将权限提升为vCenter Server Appliance上的root权限。

三、 影响范围

vCenter Server 8.0  < 8.0 U2d

vCenter Server 8.0  < 8.0 U1e

vCenter Server 7.0  < 7.0 U3r

Cloud Foundation (vCenter Server) 5.x、4.x

四、 修复建议

目前这些漏洞已经修复，受影响用户可升级到vCenter Server 8.0 U2d/8.0 U1e、7.0 U3r或更高版本，Cloud Foundation (vCenter Server) 5.x、4.x用户可参考KB88287。

下载链接：

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453

五、 参考链接

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453

https://core.vmware.com/resource/vmsa-2024-0012-questions-answers