CVE-2021-21972
VMware vCenter Server Remote Code Execution Vulnerability
Beschreibung
CVE-2021-21972 ist eine kritische Remote-Code-Execution-Schwachstelle im vSphere Client (HTML5) von VMware vCenter Server. Ein vCenter-Server-Plugin enthält einen Path-Traversal-Fehler, der einem böswilligen Akteur mit Netzwerkzugriff auf Port 443 ermöglicht, Dateien hochzuladen und Befehle mit uneingeschränkten Privilegien auf dem zugrunde liegenden Betriebssystem auszuführen. CISA hat CVE-2021-21972 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und bestätigt aktive Ausnutzung in freier Wildbahn. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 93,82 % (99,86. Perzentil) stellt diese VMware-vCenter-Server-RCE-Schwachstelle eine der größten Bedrohungen für virtualisierte Infrastrukturen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 3.0, < 3.10.1.2; >= 4.0, < 4.2 |
| vmware | vcenter server | 6.5; 6.7; 7.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/161590/VMware-vCenter-Server-7.0-Arbitrary-File-Upload.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/161695/VMware-vCenter-Server-File-Upload-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/163268/VMware-vCenter-6.5-6.7-7.0-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2021-0002.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21972(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Path Traversal ist eine Schwachstelle, bei der Software externe Eingaben zur Konstruktion eines Pfadnamens verwendet, aber spezielle Elemente wie ".." nicht neutralisiert, die den Pfad außerhalb des eingeschränkten Verzeichnisses auflösen können. Bei CVE-2021-21972 validiert ein vCenter-Server-Plugin die Datei-Upload-Pfade nicht ordnungsgemäß, wodurch ein nicht authentifizierter Angreifer beliebige Dateien auf das Server-Dateisystem hochladen und Remote-Code-Ausführung mit uneingeschränkten Betriebssystem-Privilegien erreichen kann.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Auswirkungsanalyse
CVE-2021-21972 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und spiegelt die maximale Schwere für Enterprise-Infrastruktur-Schwachstellen wider. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität aus der Ferne ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie gegen jeden internetexponierten vCenter Server trivial waffenfähig macht. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt uneingeschränkte Befehlsausführung auf dem zugrunde liegenden Betriebssystem und bietet Zugriff auf die gesamte verwaltete virtuelle Infrastruktur, Anmeldedaten und sensible Daten. Integrität (Hoch): Ein Angreifer kann jede Datei auf dem System ändern, bösartige Payloads bereitstellen, VMware-Konfigurationen verändern oder Hintertüren in die vSphere-Umgebung einschleusen. Verfügbarkeit (Hoch): Voller Betriebssystemzugriff ermöglicht einem Angreifer, virtuelle Maschinen herunterzufahren, Daten zu zerstören oder Ransomware in der gesamten virtualisierten Infrastruktur zu verteilen. Die bekannte Verbindung zu Ransomware-Kampagnen und der EPSS-Score von 93,82 % unterstreichen die kritische Dringlichkeit der Behebung für alle Organisationen mit betroffenen vCenter-Server-Versionen.
Exploit-Reifegrad
CVE-2021-21972 wird durch seine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt und ist bekannt dafür, in Ransomware-Kampagnen eingesetzt zu werden. Mehrere öffentliche Exploits sind verfügbar, darunter über Packet Storm Security (Arbitrary File Upload), Packet Storm Security (File Upload RCE) und Packet Storm Security (vCenter 6.5/6.7/7.0 RCE). Der EPSS-Score von 93,82 % (99,86. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 17.11.2021 gemäß der verbindlichen operativen Direktive von CISA zu beheben.
Behebung
- Wenden Sie Herstellerpatches sofort an, wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Aktualisieren Sie VMware vCenter Server auf 7.0 U1c oder höher, 6.7 U3l oder höher bzw. 6.5 U3n oder höher. Aktualisieren Sie VMware Cloud Foundation auf 4.2 oder höher (4.x-Linie) bzw. 3.10.1.2 oder höher (3.x-Linie).
- Überprüfen Sie, dass alle Instanzen betroffener Produkte (VMware vCenter Server 6.5, 6.7, 7.0; VMware Cloud Foundation 3.x vor 3.10.1.2 und 4.x vor 4.2) auf gepatchte Versionen aktualisiert wurden.
- Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Port 443 des vCenter Servers durch Firewall-Regeln und Netzwerksegmentierung. Blockieren Sie den Zugriff aus nicht vertrauenswürdigen Netzwerken und stellen Sie sicher, dass der vCenter Server nicht dem Internet ausgesetzt ist.
- Überwachen Sie vCenter-Server-Protokolle auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Datei-Upload-Aktivitäten über das vSphere-Client-Plugin, unerwarteter Befehlsausführung und unautorisierter Änderungen an virtuellen Maschinenkonfigurationen. Führen Sie Threat Hunting auf Anzeichen von Ransomware-Deployment durch.
- Implementieren Sie strikte Eingabevalidierung und Pfadkanonisierung für Datei-Upload-Funktionalität als langfristige Härtungsmaßnahme. Stellen Sie sicher, dass alle hochgeladenen Dateipfade gegen erlaubte Verzeichnisse validiert werden, bevor Schreiboperationen durchgeführt werden.
Technische Details
CVE-2021-21972 ist eine Remote-Code-Execution-Schwachstelle in einem vCenter-Server-Plugin, das über den vSphere Client (HTML5) zugänglich ist. Die Schwachstelle wird als Path-Traversal-Schwäche (CWE-22) klassifiziert, bei der das Plugin die von Benutzern übermittelten Datei-Upload-Pfade nicht ordnungsgemäß validiert. Ein Angreifer mit Netzwerkzugriff auf Port 443 kann speziell gestaltete Anfragen senden, die den Path-Traversal-Fehler ausnutzen, um beliebige Dateien, einschließlich Webshells oder bösartiger ausführbarer Dateien, an Speicherorte auf dem zugrunde liegenden Betriebssystem hochzuladen. Diese Datei-Upload-Fähigkeit führt zu uneingeschränkter Befehlsausführung mit den Privilegien des vCenter-Server-Dienstkontos. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt maximale Ausnutzbarkeit: netzwerkzugänglich, geringe Komplexität, keine Authentifizierung erforderlich und keine Benutzerinteraktion nötig. Betroffene Versionen umfassen vCenter Server 7.x vor 7.0 U1c, 6.7 vor 6.7 U3l, 6.5 vor 6.5 U3n sowie Cloud Foundation 4.x vor 4.2 und 3.x vor 3.10.1.2.
Häufig gestellte Fragen
Wird CVE-2021-21972 aktiv ausgenutzt?
Ja. CVE-2021-21972 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Die Schwachstelle wird auch bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 93,82 % (99,86. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin.
Welche Produkte sind von CVE-2021-21972 betroffen?
CVE-2021-21972 betrifft VMware vCenter Server Versionen 7.x vor 7.0 U1c, 6.7 vor 6.7 U3l und 6.5 vor 6.5 U3n sowie VMware Cloud Foundation Versionen 4.x vor 4.2 und 3.x vor 3.10.1.2.
Wie behebe ich CVE-2021-21972?
Wenden Sie Updates gemäß Herstelleranweisungen an, wie in VMware Security Advisory VMSA-2021-0002 beschrieben. Aktualisieren Sie vCenter Server und Cloud Foundation auf die neuesten gepatchten Versionen. Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Port 443 und überwachen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2021-21972?
CVE-2021-21972 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und ermöglicht unauthentifizierte Remote-Code-Ausführung mit uneingeschränkten Betriebssystem-Privilegien. Die Verbindung zu Ransomware-Kampagnen und ein EPSS-Score im 99,86. Perzentil machen sie zu einer der gefährlichsten VMware-Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.