9月22日，VMware官方发布安全更新，修复了VMware vCenter Server任意文件上传漏洞（CVE-2021-22005）在内的多个漏洞。利用该漏洞，攻击者可构造恶意请求，通过vCenter中的Analytics服务，可上传恶意文件，从而造成远程代码执行漏洞。

VMware安全通告VMSA-2021-0020：https://www.vmware.com/security/advisories/VMSA-2021-0020.html

一、漏洞编号：

　　CVE-2021-22005 VMware vCenter Server 任意文件上传漏洞 严重

　　CVE-2021-21991 VMware vCenter Server 本地提权漏洞 高危

　　CVE-2021-22006 VMware vCenter Server 反向代理绕过漏洞 高危

　　CVE-2021-22011 VMware vCenter Server API未授权访问漏洞 高危

　　CVE-2021-22015 VMware vCenter Server 权限提升漏洞 高危

　　CVE-2021-22012 VMware vCenter Server API敏感信息泄漏漏洞 中危

　　CVE-2021-22013 VMware vCenter Server 目录遍历漏洞 高危

　　CVE-2021-22016 VMware vCenter Server XSS漏洞 低危

　　CVE-2021-22017 VMware vCenter Server rhttpproxy 绕过漏洞 高危

　　CVE-2021-22014 VMware vCenter Server 后台远程代码执行漏洞 高危

　　CVE-2021-22018 VMware vCenter Server 任意文件删除漏洞 中危

　　CVE-2021-21992 VMware vCenter Server XML 拒绝服务漏洞 中危

　　CVE-2021-22007 VMware vCenter Server 本地信息泄漏漏洞 中危

　　CVE-2021-22019 VMware vCenter Server 拒绝服务漏洞 中危

　　CVE-2021-22009 VMware vCenter Server VApi 多个拒绝服务漏洞 中危

　　CVE-2021-22010 VMware vCenter Server VPXD 拒绝服务漏洞 中危

　　CVE-2021-22008 VMware vCenter Server 敏感信息泄漏漏洞 中危

　　CVE-2021-22020 VMware vCenter Server Analytics 拒绝服务漏洞 中危

　　CVE-2021-21993 VMware vCenter Server SSRF 漏洞 中危

二、受影响版本：

VMware vCenter Server 6.5.*

VMware vCenter Server 6.7.*

VMware vCenter Server 7.0.*

VMware Cloud Foundation (vCenter Server) 3.*

VMware Cloud Foundation (vCenter Server) 4.*

三、修复建议：

1、升级到安全版本：

VMware vCenter Server 6.5 U3q

VMware vCenter Server 6.7 U3o

VMware vCenter Server 7.0 U2c

VMware Cloud Foundation (vCenter Server) KB85718 (4.3)

VMware Cloud Foundation (vCenter Server) KB85719 (3.10.2.2)

2、CVE-2021-22005漏洞缓解措施：https://kb.vmware.com/s/article/85717

四、升级包安装和下载路径：

vCenter补丁安装可参考文档：如何升级vCenter(VCSA)补丁?

补丁下载：VMware常用软件ISO下载汇总（2021年9月更新）

Windows Server 2008 R2在安装VMware Tool时提示：“安装程序无法自动安装 Virtual Machine Communication Interface Sockets (VSock)驱动程序”

查询kb78708，这个问题是由于微软从2019年12月3日已将Windows驱动程序签名更改为使用SHA-2算法，下载支持SHA-2代码签名的补丁kb4474419安装后即可。

下载：https://www.catalog.update.microsoft.com/search.aspx?q=kb4474419

给一处客户从ESXi 6.5 U2升级到ESXi 7.0 U2，使用ESXCLI命令升级报错如下：

[InstallationError]
The pending transaction requires 248 MB free space, however the maximum supported size is 239 MB. Please refer to the log file for more details.

升级ESXi除了使用 ESXCLI命令 升级，还可以采用U盘或者带外CD挂载ISO安装包方式升级或者使用Lifecycle Manager升级。

一、U盘或者光盘挂载ISO升级可以参考：VMware vSphere ESXi 7.0U1安装配置教程，注意：选择硬盘后，因为检测到现有ESXi系统的VMFS数据，会有三个选项供选择：

第一个升级ESXi并保留数据文件，第二个安装ESXi并保留数据文件，第三个安装ESXi并覆盖数据文件。

切记一定要选择第一个：选择“升级 ESXi”、“保留 VMFS 数据存储”。这样的话ESXi原有账户密码和IP信息，交换机和端口组等信息，都会保留。

二、使用 Lifecycle Manager 升级，需要借助vCenter才行，择日再写。