CVE-2021-21985
VMware vCenter Server Improper Input Validation Vulnerability
Beschreibung
CVE-2021-21985 ist eine kritische Remote-Code-Execution-Schwachstelle im vSphere Client (HTML5) von VMware vCenter Server, die durch unsachgemäße Eingabevalidierung im Virtual SAN Health Check-Plugin verursacht wird, das standardmäßig aktiviert ist. Ein böswilliger Akteur mit Netzwerkzugriff auf Port 443 kann diesen Fehler ausnutzen, um Befehle mit uneingeschränkten Privilegien auf dem zugrunde liegenden Betriebssystem auszuführen, das den vCenter Server hostet. CISA hat CVE-2021-21985 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und bestätigt aktive Ausnutzung in freier Wildbahn. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 94,41 % (99,98. Perzentil) stellt diese VMware-vCenter-Server-Schwachstelle eine der am aktivsten angegriffenen Bedrohungen für Enterprise-Virtualisierungsinfrastrukturen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | vcenter server | 6.5; 6.7; 7.0 |
| vmware | cloud foundation | >= 3.0, < 3.10.2.1; >= 4.0, < 4.2.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162812/VMware-Security-Advisory-2021-0010.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/163487/VMware-vCenter-Server-Virtual-SAN-Health-Check-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2021-0010.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21985(US Government Resource)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
Unsachgemäße Eingabevalidierung tritt auf, wenn Software Eingaben empfängt, diese aber nicht darauf überprüft, ob sie die erforderlichen Eigenschaften für eine sichere Verarbeitung besitzen. Bei CVE-2021-21985 validiert das Virtual SAN Health Check-Plugin in vCenter Server die vom Benutzer bereitgestellten Eingaben nicht ordnungsgemäß, wodurch ein Angreifer bösartige Daten einschleusen kann, die zu Remote-Code-Ausführung auf dem zugrunde liegenden Betriebssystem führen.
Mehr erfahren: CWE-20 — Unsachgemäße Eingabevalidierung
CWE-470: Verwendung von extern kontrollierter Eingabe zur Auswahl von Klassen oder Code
Diese Schwäche tritt auf, wenn Software externe Eingaben verwendet, um zu bestimmen, welche Klassen instanziiert oder welche Codepfade ausgeführt werden. Bei CVE-2021-21985 ermöglicht die fehlende Eingabevalidierung im Virtual SAN Health Check-Plugin Angreifern, die Klassenauswahl oder Codeausführungspfade zu kontrollieren, was zu uneingeschränkter Befehlsausführung auf dem Host-System führt.
Mehr erfahren: CWE-470 — Verwendung von extern kontrollierter Eingabe zur Auswahl von Klassen oder Code
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery tritt auf, wenn eine Webanwendung eine Remote-Ressource abruft, ohne die vom Benutzer bereitgestellte URL zu validieren. Im Kontext von CVE-2021-21985 kann die SSRF-Schwäche im Virtual SAN Health Check-Plugin einem Angreifer ermöglichen, den vCenter Server zu unbeabsichtigten Anfragen an interne Dienste zu zwingen und so die Ausnutzung weiter zu erleichtern.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2021-21985 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und weist die höchste Schweregradsstufe auf. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität aus der Ferne ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie gegen jeden vCenter Server mit zugänglichem Port 443 trivial ausnutzbar macht. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung bietet uneingeschränkte Betriebssystem-Befehlsausführung und gewährt Zugriff auf die gesamte verwaltete virtuelle Infrastruktur, Anmeldedaten, Verschlüsselungsschlüssel und sensible Organisationsdaten, die auf dem vCenter Server gespeichert oder von ihm verwaltet werden. Integrität (Hoch): Ein Angreifer kann jede Systemdatei ändern, bösartige virtuelle Maschinen bereitstellen, Sicherheitskonfigurationen verändern oder persistente Hintertüren in der VMware-Umgebung installieren. Verfügbarkeit (Hoch): Vollständige Kontrolle über das Host-Betriebssystem ermöglicht dem Angreifer, alle verwalteten virtuellen Maschinen herunterzufahren, Daten zu beschädigen oder Ransomware in der gesamten Virtualisierungsinfrastruktur zu verteilen. Die Kombination aus dem EPSS-Score von 94,41 % und der bestätigten Ransomware-Nutzung macht CVE-2021-21985 zu einer sofortigen, kritischen Behebungspriorität.
Exploit-Reifegrad
CVE-2021-21985 wird durch seine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt und ist bekannt dafür, in Ransomware-Kampagnen eingesetzt zu werden. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, was Angreifern ein einsatzbereites Remote-Code-Execution-Tool bereitstellt, das auf das Virtual SAN Health Check-Plugin abzielt. Der EPSS-Score von 94,41 % (99,98. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an und platziert diese unter den am aktivsten angegriffenen VMware-Schwachstellen. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 17.11.2021 gemäß der verbindlichen operativen Direktive von CISA zu beheben, was die extreme Dringlichkeit dieser Bedrohung widerspiegelt.
Behebung
- Wenden Sie Herstellerpatches sofort an, wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Beziehen Sie sich auf VMware Security Advisory VMSA-2021-0010 für die neuesten gepatchten Versionen von vCenter Server und Cloud Foundation.
- Überprüfen Sie, dass alle Instanzen betroffener Produkte (VMware vCenter Server Versionen 6.5, 6.7 und 7.0; VMware Cloud Foundation Versionen 3.x vor 3.10.2.1 und 4.x vor 4.2.1) auf gepatchte Versionen aktualisiert wurden.
- Deaktivieren Sie als Übergangsmaßnahme das Virtual SAN Health Check-Plugin, wenn es nicht benötigt wird. Dieses Plugin ist standardmäßig in vCenter Server aktiviert und dient als Angriffsfläche für diese Schwachstelle.
- Beschränken Sie den Netzwerkzugriff auf Port 443 des vCenter Servers durch Firewall-Regeln und Netzwerksegmentierung. Blockieren Sie den Zugriff aus nicht vertrauenswürdigen Netzwerken und stellen Sie sicher, dass der vCenter Server nicht direkt dem Internet ausgesetzt ist. Überwachen Sie auf ungewöhnliche Aktivitäten, die auf vSAN Health Check-Endpunkte abzielen.
- Implementieren Sie umfassende Eingabevalidierung und -bereinigung für alle Plugin-Schnittstellen als langfristige Härtungsmaßnahme. Auditieren Sie regelmäßig aktivierte Plugins und deaktivieren Sie alle, die nicht aktiv benötigt werden. Führen Sie Threat Hunting auf Indikatoren für Ransomware-Deployment oder unautorisierte Befehlsausführung durch.
Technische Details
CVE-2021-21985 ist eine Remote-Code-Execution-Schwachstelle im vSphere Client (HTML5), die durch unsachgemäße Eingabevalidierung (CWE-20) im Virtual SAN Health Check-Plugin verursacht wird, das standardmäßig in VMware vCenter Server aktiviert ist. Die Schwachstelle umfasst mehrere Schwächetypen: Unsachgemäße Eingabevalidierung ermöglicht es bösartigen Daten, die interne Verarbeitungslogik zu erreichen, die Verwendung extern kontrollierter Eingaben zur Auswahl von Klassen oder Code (CWE-470) ermöglicht Angreifern die Beeinflussung der ausgeführten Codepfade, und Server-Side Request Forgery (CWE-918) kann es dem Server ermöglichen, zu unbeabsichtigten internen Anfragen gezwungen zu werden. Zusammen ermöglichen diese Schwächen einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf Port 443, das Plugin auszunutzen und beliebige Befehle mit uneingeschränkten Privilegien auf dem zugrunde liegenden Betriebssystem auszuführen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt maximale Ausnutzbarkeit: netzwerkzugänglich, geringe Komplexität, keine Authentifizierung und keine Benutzerinteraktion erforderlich. Betroffene Versionen umfassen vCenter Server 6.5, 6.7 und 7.0 sowie Cloud Foundation 3.x vor 3.10.2.1 und 4.x vor 4.2.1.
Häufig gestellte Fragen
Wird CVE-2021-21985 aktiv ausgenutzt?
Ja. CVE-2021-21985 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle ist auch bekannt dafür, mit Ransomware-Kampagnen in Verbindung zu stehen. Der EPSS-Score von 94,41 % (99,98. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2021-21985 betroffen?
CVE-2021-21985 betrifft VMware vCenter Server Versionen 6.5, 6.7 und 7.0 sowie VMware Cloud Foundation Versionen 3.x vor 3.10.2.1 und 4.x vor 4.2.1. Die Schwachstelle befindet sich im Virtual SAN Health Check-Plugin, das standardmäßig aktiviert ist.
Wie behebe ich CVE-2021-21985?
Wenden Sie Updates gemäß Herstelleranweisungen an, wie in VMware Security Advisory VMSA-2021-0010 beschrieben. Deaktivieren Sie als Übergangsmaßnahme das Virtual SAN Health Check-Plugin, wenn es nicht benötigt wird. Beschränken Sie den Netzwerkzugriff auf Port 443 und überwachen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2021-21985?
CVE-2021-21985 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und ermöglicht unauthentifizierte Remote-Code-Ausführung mit uneingeschränkten Betriebssystem-Privilegien über ein standardmäßig aktiviertes Plugin. Die Verbindung zu Ransomware-Kampagnen und ein EPSS-Score im 99,98. Perzentil machen sie zu einer sofortigen Behebungspriorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.