VMware 对 Apache Log4j 远程代码执行漏洞的响应（CVE-2021-44228、CVE-2021-45046）

• 地平线
• VMware vCenter 服务器
• VMware HCX
• VMware NSX-T 数据中心
• VMware 统一接入网关
• VMware WorkspaceOne Access
• VMware 身份管理器 
• VMware vRealize Operations
• VMware vRealize Operations 云代理
• VMware vRealize 自动化
• VMware vRealize Lifecycle Manager
• VMware Site Recovery Manager、vSphere Replication
• VMware Carbon Black 云工作负载设备
• VMware Carbon Black EDR 服务器
• VMware Tanzu GemFire
• 用于虚拟机的 VMware Tanzu GemFire
• VMware Tanzu Greenplum 平台扩展框架
• Greenplum 文本
• VMware Tanzu 运营经理
• 适用于 VM 的 VMware Tanzu 应用程序服务
• VMware Tanzu Kubernetes Grid 集成版
• Wavefront Nozzle 的 VMware Tanzu 可观察性
• 适用于 Tanzu 应用服务的 Healthwatch
• 面向 VMware Tanzu 的 Spring Cloud 服务
• 适用于 VMware Tanzu 的 Spring Cloud Gateway
• Kubernetes 的 Spring Cloud Gateway
• 适用于 VMware Tanzu 的 API 门户
• VMware Tanzu 应用程序服务的单点登录
• 应用指标
• VMware vCenter 云网关
• VMware vRealize Orchestrator
• VMware 云基础
• VMware Workspace ONE 访问连接器
• VMware Horizo​​n DaaS
• VMware Horizo​​n Cloud 连接器
• 适用于 vSphere 的 VMware NSX 数据中心
• VMware AppDefense 设备
• VMware Cloud Director 对象存储扩展
• VMware 电信云运营
• VMware vRealize Log Insight
• VMware Tanzu 调度程序
• VMware 智能保证 NCM
• VMware Smart Assurance SAM [服务保障管理器]
• VMware 集成 OpenStack
• VMware vRealize Business for Cloud
• VMware vRealize Network Insight
• VMware Cloud Provider Lifecycle Manager 
• VMware SD-WAN VCO
• VMware NSX-T 智能设备
• VMware Horizo​​n Agent 安装程序
• VMware Tanzu 可观察性代理
• VMware 智能保障 M&R
• TKGI 的 VMware Harbor Container Registry
• 适用于 VMware Cloud Director 的 VMware vRealize Operations 租户应用程序 
• （将添加其他产品）

Apache Log4j 中由 CVE-2021-44228 和 CVE-2021-45046 识别的严重漏洞已公开披露，这些漏洞会影响 VMware 产品。 

这是一个持续的事件，请查看此公告以了解其开发过程中的频繁更新。

多个产品通过 Apache Log4j（CVE-2021-44228、CVE-2021-45046）受到远程代码执行漏洞的影响。

对受影响的 VMware 产品具有网络访问权限的恶意行为者可能会利用这些问题来完全控制目标系统。 

CVE-2021-44228 和 CVE-2021-45046 的修复记录在下面“响应矩阵”的“固定版本”列中。

CVE-2021-44228 和 CVE-2021-45046 的变通方法记录在下面“响应矩阵”的“变通方法”列中。

没有任何。

没有任何。

• VMware 已经确认了 CVE-2021-44228 的野外利用尝试。
• 创建了补充博客文章和常见问题列表以进行额外说明。请参阅：https : //via.vmw.com/vmsa-2021-0028-faq
• 未受影响的 VMware 产品可以参考知识库文章：https : //kb.vmware.com/s/article/87068
• 2021 年 12 月 14 日，Apache 软件基金会通知社区，他们对 CVE-2021-44228 变通方法的初步指导不足以消除所有可能的攻击媒介。此外，还发布了一个由 CVE-2021-45046 识别的新漏洞。作为回应，VMware 已与新指南保持一致，并将更新相关文档以及解决方法和修复程序，以完全解决这两个漏洞。
• 2021 年 12 月 17 日，Apache 软件基金会将 CVE-2021-45046 的严重性更新为 9.0，作为回应，我们调整了我们的建议。
• Apache 软件基金会披露了一个由 CVE-2021-45105 识别的新漏洞，该漏洞会影响非默认配置中 2.17 之前的 log4j 版本。在此公告发布后不久，VMware 开始调查此漏洞的潜在影响。在此更新时，我们尚未在任何 VMware 产品中找到可利用 CVE-2021-45105 的有效攻击媒介，但调查将继续进行。VMware 将在我们产品的未来版本中将 log4j 更新为 2.17。