CVE-2021-21975
VMware Server Side Request Forgery in vRealize Operations Manager API
Beschreibung
CVE-2021-21975 ist eine schwerwiegende Server-Side Request Forgery (SSRF) Schwachstelle in der VMware vRealize Operations Manager API, die Versionen vor 8.4 betrifft. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf die vRealize Operations Manager API, eine SSRF-Attacke durchzuführen und administrative Zugangsdaten zu stehlen. Mit einem CVSS-3.1-Score von 7,5 (HIGH) erfordert CVE-2021-21975 weder Authentifizierung noch Benutzerinteraktion. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen und bestätigt aktive Ausnutzung in freier Wildbahn. Besonders kritisch: CVE-2021-21975 wird bestätigt in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,4 % (99,97. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität und unterstreicht die extreme Dringlichkeit der Behebung für alle betroffenen VMware-Installationen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | 3.0; 3.0.1; 3.0.1.1; 3.5; 3.5.1; 3.7; 3.7.1; 3.7.2; 3.8; 3.8.1; 3.9; 3.9.1; 3.10; 4.0; 4.0.1 |
| vmware | vrealize operations manager | 7.0.0; 7.5.0; 8.0.0; 8.0.1; 8.1.0; 8.1.1; 8.2.0; 8.3.0 |
| vmware | vrealize suite lifecycle manager | 8.0; 8.0.1; 8.1; 8.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/162349/VMware-vRealize-Operations-Manager-Server-Side-Request-Forgery-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2021-0004.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21975(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery (SSRF) tritt auf, wenn eine Webanwendung eine Remote-Ressource abruft, ohne die vom Benutzer bereitgestellte URL zu validieren. Bei CVE-2021-21975 ermöglicht die SSRF-Schwachstelle in der vRealize Operations Manager API einem Angreifer, die Anwendung dazu zu bringen, Anfragen an interne Dienste und Endpunkte zu senden, die normalerweise nicht von außen erreichbar sind. Dadurch können administrative Zugangsdaten gestohlen werden, was eine vollständige Kompromittierung der VMware-Infrastruktur ermöglicht.
Weitere Informationen: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2021-21975 erhielt einen CVSS-3.1-Score von 7,5 (HIGH) und ist über das Netzwerk ohne physischen Zugang ausnutzbar (Angriffsvektor: Netzwerk). Die Angriffskomplexität ist niedrig, was bedeutet, dass keine speziellen Voraussetzungen für eine erfolgreiche Ausnutzung erforderlich sind. Keine Authentifizierung ist erforderlich und keine Benutzerinteraktion wird benötigt, was die Schwachstelle besonders gefährlich für exponierte vRealize Operations Manager-Instanzen macht. Vertraulichkeit (Hoch): Ein Angreifer kann über die SSRF-Schwachstelle administrative Zugangsdaten aus internen Diensten und Metadaten-Endpunkten stehlen. Dies umfasst potenziell Anmeldedaten für die gesamte VMware-Infrastruktur, einschließlich vCenter Server und ESXi-Hosts. Integrität (Keine) und Verfügbarkeit (Keine): Der direkte Angriff beeinträchtigt weder die Integrität noch die Verfügbarkeit, aber die gestohlenen Zugangsdaten ermöglichen Folgeangriffe mit vollem Systemzugriff. Der EPSS-Score von 94,4 % in der 99,97. Perzentile bestätigt nahezu sichere Ausnutzungsaktivität. Die bestätigte Verwendung in Ransomware-Kampagnen erhöht das operationelle Risiko erheblich — Angreifer nutzen die gestohlenen Zugangsdaten, um Ransomware in virtualisierten Umgebungen einzusetzen.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2021-21975 über Packet Storm Security, der eine vollständige SSRF-Ausnutzung und Code-Execution-Kette demonstriert. CISA hat CVE-2021-21975 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Besonders kritisch: Die Schwachstelle wird bestätigt in Ransomware-Kampagnen eingesetzt. Ransomware-Betreiber nutzen die SSRF-Schwachstelle, um administrative Zugangsdaten aus der VMware-Infrastruktur zu stehlen und anschließend Ransomware auf virtualisierten Systemen einzusetzen. Der EPSS-Score von 94,4 % (99,97. Perzentile) platziert CVE-2021-21975 unter den am häufigsten ausgenutzten Schwachstellen im gesamten CVE-Katalog und spiegelt die Kombination aus öffentlich verfügbarem Exploit-Code, nicht authentifizierter Ausnutzbarkeit und bestätigtem Ransomware-Einsatz wider.
Behebung
-
VMware-Update sofort installieren. Aktualisieren Sie vRealize Operations Manager auf Version 8.4 oder höher gemäß dem VMware Security Advisory VMSA-2021-0004. Betroffene Produkte umfassen VMware vRealize Operations Manager (Versionen 7.0.0 bis 8.3.0), VMware Cloud Foundation (Versionen 3.x und 4.x) und VMware vRealize Suite Lifecycle Manager (Versionen 8.0 bis 8.2).
-
Netzwerkzugriff auf die vRealize Operations Manager API sofort einschränken. Implementieren Sie Firewall-Regeln, die den Zugriff auf die vRealize Operations Manager API ausschließlich von autorisierten Management-Netzwerken erlauben. Blockieren Sie jeglichen externen Zugriff auf die API-Endpunkte. Da es sich um eine SSRF-Schwachstelle handelt, prüfen Sie auch, ob ausgehende Verbindungen vom vRealize Operations Manager zu internen Diensten und Cloud-Metadaten-Endpunkten (169.254.169.254) eingeschränkt werden können.
-
Alle administrativen Zugangsdaten rotieren. Da die Schwachstelle den Diebstahl administrativer Zugangsdaten ermöglicht, ändern Sie sofort alle vRealize Operations Manager-Administratorpasswörter, vCenter Server-Anmeldedaten, ESXi-Host-Zugangsdaten und alle Service-Account-Passwörter, die von oder über die betroffene vRealize Operations Manager-Instanz verwendet werden.
-
Protokollierung und Monitoring auf SSRF-Indikatoren prüfen. Untersuchen Sie vRealize Operations Manager-Logs auf verdächtige ausgehende Anfragen an interne IP-Adressen, Cloud-Metadaten-Endpunkte oder ungewöhnliche API-Zugriffsmuster. Suchen Sie nach Anzeichen für Credential-Theft und nicht autorisierte Zugriffe auf die VMware-Infrastruktur.
-
Incident-Response bei Verdacht auf Ransomware-Kompromittierung einleiten. Angesichts der bestätigten Ransomware-Assoziation untersuchen Sie die gesamte virtualisierte Umgebung auf Anzeichen einer Kompromittierung. Suchen Sie nach ungewöhnlichen VM-Snapshots, Verschlüsselungsaktivitäten auf Datastores, nicht autorisiertem Zugriff auf vCenter und Anzeichen für Lateral Movement im Netzwerk.
Technische Details
CVE-2021-21975 ist eine Server-Side Request Forgery (SSRF) Schwachstelle in der VMware vRealize Operations Manager API. Die Schwachstelle basiert auf einer unzureichenden Validierung von Benutzer-bereitgestellten URLs in der API-Schnittstelle, die es einem nicht authentifizierten Angreifer ermöglicht, den Server dazu zu bringen, beliebige HTTP-Anfragen an interne Dienste zu senden. Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) bestätigt, dass die Schwachstelle über das Netzwerk mit niedriger Komplexität ohne Authentifizierung ausnutzbar ist. Der Hauptangriffspfad zielt auf den Diebstahl administrativer Zugangsdaten ab, indem der vRealize Operations Manager API-Server angewiesen wird, Anfragen an interne Authentifizierungsdienste oder Metadaten-Endpunkte zu senden und die Antworten an den Angreifer weiterzuleiten. Die betroffenen Produkte umfassen VMware vRealize Operations Manager in den Versionen 7.0.0, 7.5.0, 8.0.0, 8.0.1, 8.1.0, 8.1.1, 8.2.0 und 8.3.0 sowie VMware Cloud Foundation in zahlreichen Versionen der 3.x- und 4.x-Reihen und VMware vRealize Suite Lifecycle Manager in den Versionen 8.0, 8.0.1, 8.1 und 8.2. VMware behob diese Schwachstelle in vRealize Operations Manager Version 8.4 durch eine ordnungsgemäße Validierung und Einschränkung der URLs, die von der API verarbeitet werden können.
Häufig gestellte Fragen
Wird CVE-2021-21975 aktiv ausgenutzt?
Ja, CVE-2021-21975 wird aktiv ausgenutzt. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und bestätigt aktive Ausnutzung in freier Wildbahn. Besonders alarmierend ist, dass CVE-2021-21975 bestätigt in Ransomware-Kampagnen eingesetzt wird. Ransomware-Betreiber nutzen die SSRF-Schwachstelle, um administrative Zugangsdaten zu stehlen und anschließend Ransomware in virtualisierten Umgebungen einzusetzen. Der EPSS-Score von 94,4 % (99,97. Perzentile) bestätigt nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2021-21975 betroffen?
CVE-2021-21975 betrifft VMware vRealize Operations Manager in den Versionen 7.0.0, 7.5.0, 8.0.0, 8.0.1, 8.1.0, 8.1.1, 8.2.0 und 8.3.0. Ebenfalls betroffen sind VMware Cloud Foundation in zahlreichen Versionen der 3.x- und 4.x-Reihen sowie VMware vRealize Suite Lifecycle Manager in den Versionen 8.0 bis 8.2. Alle Organisationen mit diesen VMware-Produkten sollten umgehend auf die gepatchten Versionen aktualisieren.
Wie behebe ich CVE-2021-21975?
Aktualisieren Sie VMware vRealize Operations Manager auf Version 8.4 oder höher gemäß VMware Security Advisory VMSA-2021-0004. Schränken Sie sofort den Netzwerkzugriff auf die API-Endpunkte ein, rotieren Sie alle administrativen Zugangsdaten und untersuchen Sie Logs auf Anzeichen einer Kompromittierung. Angesichts der Ransomware-Assoziation ist eine umfassende Incident-Response-Prüfung der virtualisierten Umgebung dringend empfohlen.
Wie schwerwiegend ist CVE-2021-21975?
CVE-2021-21975 hat einen CVSS-3.1-Score von 7,5 (HIGH) und ermöglicht den Diebstahl administrativer Zugangsdaten ohne Authentifizierung. Der EPSS-Score von 94,4 % in der 99,97. Perzentile zeigt nahezu sichere Ausnutzungsaktivität. Die bestätigte Verwendung in Ransomware-Kampagnen macht diese Schwachstelle besonders kritisch — die gestohlenen Zugangsdaten ermöglichen Angreifern den vollständigen Zugriff auf VMware-Infrastrukturen und die Einschleusung von Ransomware.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.