【情有獨鍾？】VMware vCenter Server補漏檔推出20日 數千企業客戶仍未更新
VMware 早前發現伺服器管理工具 vCenter Server 的擴充程式存在漏洞，緊急在 5 月 25 日推出修補檔被呼籲企業客戶更新系統，不過事隔接近 20 日，專家發現依然有接近 5,000 個系統未被更新，當中約 19% 更屬於已停止支援的舊版本，所以話，企業有時出事都唔怪得人。
VMware 是雲端運算及虛擬化技術龍頭供應商，不少企業及開發商也有採用他們的產品。當中一站式伺服器管理工具 vCenter Server 更是必用工具，因為它有助 IT 人員管理伺服器上的虛擬機器 (virtual machine)，而早前被發現的漏洞，就屬於 vCenter Server 的擴充程式內 Virtual SAN Health Check。VMware 的專家解釋，該漏洞可讓黑客通過 port 443 遙距執行惡意程式 (remote code execution)，再加上 vSAN 是預設啟動的功能，因此只要是 vCenter Server 用家就會受到牽連，因此CVSS風險指數極高，分數達 9.8/10。
另一風險較低 (CVSS 6.5) 的漏洞，則允許黑客在毋須額外認證下，通過 port 443 執行受影響擴充程式的功能，包括 vSAN、Site Recovery、vSphere Lifecycle Manager 及 VMware Cloud Director Availability。專家當時呼籲 vCenter Server 6.5、6.7 及 7.0，以及 Cloud Foundation vCenter Server 3.x 及 4.x 用家，必須即時更新系統，才能避免黑客通過該已知漏通入侵。
雖然 VMware 已快速修正問題，但安裝與否，決定權始終掌握在客戶手上。網絡安全公司 Trustware SpiderLabs 於周二便發表了驚人報告，指他們使用 Shodan 搜尋引擎，掃描網絡上可接觸的 4,969 個 VMware vCenter servers 後，發現當中約 8 成 (4,019個) 仍未更新系統，剩餘的 19% 採用的更屬於 2.5x 及 4.0x 版本，即已被VMware宣告停止再作技術支援的「古董」，可見企業的安全狀況實在令人憂慮。到底IT部門是仍未察覺VMware的更新通知，抑或因為太忙而選擇性失明？由於這個漏洞的攻擊方法已有完整的 PoC (Proof of Concept)，再心存僥倖，後果一定更嚴重。
