CVE-2021-22005
VMware vCenter Server File Upload Vulnerability
Beschreibung
CVE-2021-22005 ist eine kritische Schwachstelle für beliebige Datei-Uploads in VMware vCenter Server, die es einem böswilligen Akteur mit Netzwerkzugriff auf Port 443 ermöglicht, Code auf dem Server auszuführen, indem eine speziell gestaltete Datei an den Analytics-Dienst hochgeladen wird. Diese VMware-vCenter-Server-Schwachstelle hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und wird aktiv in freier Wildbahn ausgenutzt, wie die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen bestätigt. Bemerkenswert ist, dass CVE-2021-22005 mit Ransomware-Kampagnen in Verbindung gebracht wird. Der EPSS-Score von 94,46 % (99,99. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin, was diese zu einer der am aktivsten angegriffenen Schwachstellen in VMware-Infrastrukturen macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 3.0, < 5.0 |
| vmware | vcenter server | 6.5; 6.7; 7.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164439/VMware-vCenter-Server-Analytics-CEIP-Service-File-Upload.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2021-0020.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22005(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Path Traversal ist eine Schwachstelle, die auftritt, wenn Software externe Eingaben zur Konstruktion eines Pfadnamens verwendet, aber spezielle Elemente wie ".." und "/" nicht ordnungsgemäß neutralisiert, die dazu führen können, dass der Pfadname außerhalb des beabsichtigten Verzeichnisses aufgelöst wird. Bei CVE-2021-22005 beschränkt der vCenter Server Analytics-Dienst die Upload-Pfade nicht ordnungsgemäß, wodurch ein Angreifer bösartige Dateien an beliebige Speicherorte auf dem Server hochladen und letztendlich Remote-Code-Ausführung erreichen kann.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’)
Auswirkungsanalyse
CVE-2021-22005 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und spiegelt die maximale Schweregrad-Stufe für Infrastruktur-Schwachstellen wider. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität aus der Ferne ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie für jeden Angreifer mit Netzwerkzugriff auf Port 443 trivial ausnutzbar macht. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung gewährt dem Angreifer Code-Ausführung auf dem vCenter Server und ermöglicht Zugriff auf alle verwalteten virtuellen Infrastruktur-Anmeldedaten, Konfigurationen und Daten. Integrität (Hoch): Ein Angreifer kann vCenter-Server-Konfigurationen ändern, bösartige virtuelle Maschinen bereitstellen oder die gesamte VMware-Umgebung manipulieren. Verfügbarkeit (Hoch): Vollständige Kontrolle über den vCenter Server ermöglicht dem Angreifer, virtuelle Maschinen herunterzufahren, Dienste zu stören oder Ransomware über die verwaltete Infrastruktur zu verteilen. Der EPSS-Score von 94,46 % bestätigt nahezu sichere Ausnutzung, und die bekannte Verbindung zu Ransomware-Kampagnen macht diese Schwachstelle zu einer sofortigen Priorität für die Behebung.
Exploit-Reifegrad
CVE-2021-22005 wird durch seine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt und ist bekannt dafür, in Ransomware-Kampagnen eingesetzt zu werden. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, was Angreifern einsatzbereite Exploit-Tools bereitstellt. Der EPSS-Score von 94,46 % (99,99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an und platziert diese unter den am aktivsten angegriffenen Schwachstellen. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 17.11.2021 gemäß der verbindlichen operativen Direktive von CISA zu beheben, was die extreme Dringlichkeit dieser Bedrohung widerspiegelt.
Behebung
- Wenden Sie Herstellerpatches sofort an, wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Beziehen Sie sich auf VMware Security Advisory VMSA-2021-0020 für die neuesten gepatchten Versionen von vCenter Server und Cloud Foundation.
- Überprüfen Sie, dass alle Instanzen betroffener Produkte (VMware vCenter Server Versionen 6.5, 6.7 und 7.0; VMware Cloud Foundation Versionen 3.x bis 5.0) auf gepatchte Versionen aktualisiert wurden.
- Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Port 443 des vCenter Servers durch Firewall-Regeln und Netzwerksegmentierung. Beschränken Sie den Zugriff auf vertrauenswürdige Verwaltungsnetzwerke und Administratoren.
- Überwachen Sie vCenter-Server-Protokolle auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Datei-Upload-Aktivitäten am Analytics-Dienst-Endpunkt, unerwarteter Prozessausführung und unautorisierter Konfigurationsänderungen. Führen Sie Threat Hunting auf Anzeichen von Ransomware-Deployment durch.
- Implementieren Sie strikte Eingabevalidierung und Pfadkanonisierung für alle Datei-Upload-Funktionalitäten als langfristige Härtungsmaßnahme. Stellen Sie sicher, dass Datei-Uploads auf vorgesehene Verzeichnisse mit ordnungsgemäßen Zugriffskontrollen beschränkt sind.
Technische Details
CVE-2021-22005 ist eine Schwachstelle für beliebige Datei-Uploads im Analytics-Dienst von VMware vCenter Server. Die Schwachstelle resultiert aus einer Path-Traversal-Schwäche (CWE-22), bei der der Analytics-Dienst die Zielpfade für hochgeladene Dateien nicht ordnungsgemäß validiert und beschränkt. Ein böswilliger Akteur mit Netzwerkzugriff auf Port 443 kann eine speziell gestaltete Datei-Upload-Anfrage erstellen, die diesen Path-Traversal-Fehler ausnutzt, um Dateien an beliebigen Speicherorten im vCenter-Server-Dateisystem zu platzieren und letztendlich Remote-Code-Ausführung zu erreichen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt die maximalen Ausnutzbarkeitsmerkmale: netzwerkzugänglich, geringe Komplexität, keine Authentifizierung und keine Benutzerinteraktion erforderlich, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-22005 aktiv ausgenutzt?
Ja. CVE-2021-22005 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle ist auch bekannt dafür, mit Ransomware-Kampagnen in Verbindung zu stehen. Der EPSS-Score von 94,46 % (99,99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2021-22005 betroffen?
CVE-2021-22005 betrifft VMware vCenter Server Versionen 6.5, 6.7 und 7.0 sowie VMware Cloud Foundation Versionen 3.x bis 5.0. Jede Organisation, die diese Versionen mit netzwerkzugänglichen vCenter-Server-Instanzen betreibt, ist gefährdet.
Wie behebe ich CVE-2021-22005?
Wenden Sie Updates gemäß Herstelleranweisungen an, wie in VMware Security Advisory VMSA-2021-0020 beschrieben. Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Port 443 des vCenter Servers und überwachen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2021-22005?
CVE-2021-22005 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und ist eine der am aktivsten ausgenutzten VMware-Schwachstellen. Die Verbindung zu Ransomware-Kampagnen und ein EPSS-Score im 99,99. Perzentil machen sie zu einer sofortigen Behebungspriorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.