CVE-2021-22017
VMware vCenter Server Improper Access Control
Beschreibung
CVE-2021-22017 ist eine Schwachstelle in VMware vCenter Server, die auf einer fehlerhaften URI-Normalisierung im Rhttproxy-Dienst basiert. Ein Angreifer mit Netzwerkzugriff auf Port 443 des vCenter Servers kann diese Schwachstelle ausnutzen, um den Proxy zu umgehen und auf interne Endpunkte zuzugreifen. VMware vCenter Server ist eine zentrale Verwaltungsplattform für virtualisierte Infrastrukturen, wodurch die potenzielle Auswirkung dieser Zugriffskontroll-Schwachstelle erheblich ist. CISA hat CVE-2021-22017 in den Known Exploited Vulnerabilities-Katalog aufgenommen. Mit einem EPSS-Score von 74,08 % (98,8. Perzentile) besteht eine hohe Wahrscheinlichkeit der aktiven Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | vcenter server | 6.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2021-0020.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22017(US Government Resource)
Schwachstellentyp
Fehlerhafte Zugriffskontrolle (Improper Access Control)
Die Schwachstelle in VMware vCenter Server basiert auf einer fehlerhaften Implementierung der URI-Normalisierung im Rhttproxy-Dienst. Durch diese unzureichende Eingabevalidierung können Angreifer speziell manipulierte URIs verwenden, um den Proxy zu umgehen und direkten Zugriff auf interne Endpunkte zu erhalten, die normalerweise nicht extern erreichbar sein sollten.
Weitere Informationen: Improper Access Control — MITRE
Auswirkungsanalyse
CVE-2021-22017 hat einen CVSS 3.1-Score von 5.3 (MEDIUM) und ermöglicht den unautorisierten Zugriff auf interne vCenter-Endpunkte. Die Schwachstelle ist über das Netzwerk ausnutzbar bei geringer Angriffskomplexität, erfordert keine Authentifizierung und keine Benutzerinteraktion. Vertraulichkeit (Niedrig): Durch das Umgehen des Proxys können interne Informationen und Endpunkte offengelegt werden, die normalerweise nicht extern zugänglich sind. Die Auswirkungen auf Integrität und Verfügbarkeit sind laut CVSS-Bewertung nicht direkt betroffen. Trotz des moderaten CVSS-Scores ist der hohe EPSS-Score von 74,08 % besorgniserregend, da die Schwachstelle in einer kritischen Infrastrukturkomponente liegt. VMware vCenter Server verwaltet typischerweise zahlreiche virtuelle Maschinen und ESXi-Hosts, wodurch ein Proxy-Bypass als Einstiegspunkt für weiterführende Angriffe dienen kann.
Exploit-Reifegrad
CVE-2021-22017 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Obwohl in den öffentlichen Referenzen keine als "Exploit" getaggten Einträge vorhanden sind, zeigt der EPSS-Score von 74,08 % (98,8. Perzentile) eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist Teil des VMware-Sicherheitshinweises VMSA-2021-0020, der mehrere vCenter Server-Schwachstellen adressiert. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-01-24 gemäß der verbindlichen CISA-Direktive zu beheben, was die besondere Dringlichkeit unterstreicht.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie die von VMware bereitgestellten Patches gemäß dem Sicherheitshinweis VMSA-2021-0020.
- Aktualisieren Sie VMware vCenter Server 6.7 auf die neueste gepatchte Version. Überprüfen Sie den VMware-Sicherheitshinweis VMSA-2021-0020 für die spezifischen Patch-Versionen.
- Beschränken Sie den Netzwerkzugriff auf Port 443 des vCenter Servers auf autorisierte Administratoren und Verwaltungsnetzwerke. Setzen Sie Firewall-Regeln ein, um den Zugriff aus nicht vertrauenswürdigen Netzwerken zu blockieren.
- Überwachen Sie die Rhttproxy-Logs auf verdächtige URI-Muster und unerwartete Zugriffe auf interne Endpunkte. Prüfen Sie auf Anzeichen einer Kompromittierung wie unautorisierte API-Aufrufe oder Konfigurationsänderungen.
- Isolieren Sie das vCenter-Management-Netzwerk von der allgemeinen Netzwerkinfrastruktur und implementieren Sie Netzwerksegmentierung, um die Angriffsfläche langfristig zu reduzieren.
Technische Details
CVE-2021-22017 betrifft den Rhttproxy-Dienst in VMware vCenter Server 6.7. Die Schwachstelle beruht auf einer fehlerhaften Implementierung der URI-Normalisierung, die es Angreifern ermöglicht, durch speziell konstruierte HTTP-Anfragen an Port 443 den Proxy zu umgehen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N zeigt, dass die Schwachstelle netzwerkbasiert ohne Authentifizierung oder Benutzerinteraktion ausnutzbar ist, wobei die unmittelbare Auswirkung auf die Vertraulichkeit beschränkt ist. Da es sich um einen Proxy-Bypass handelt, können Angreifer jedoch Zugang zu internen vCenter-Diensten und -Endpunkten erhalten, die als Sprungbrett für weiterführende Angriffe auf die gesamte virtualisierte Infrastruktur dienen können.
Häufig gestellte Fragen
Wird CVE-2021-22017 aktiv ausgenutzt?
Ja. CVE-2021-22017 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 74,08 % (98,8. Perzentile) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Es ist keine direkte Ransomware-Nutzung bekannt.
Welche Produkte sind von CVE-2021-22017 betroffen?
CVE-2021-22017 betrifft VMware vCenter Server in Version 6.7. Der Rhttproxy-Dienst, der als Reverse-Proxy für die vCenter-Weboberfläche und API-Endpunkte fungiert, ist die verwundbare Komponente.
Wie behebe ich CVE-2021-22017?
Installieren Sie die von VMware bereitgestellten Patches gemäß dem Sicherheitshinweis VMSA-2021-0020. Beschränken Sie zudem den Netzwerkzugriff auf den vCenter Server auf autorisierte Verwaltungsnetzwerke und überwachen Sie die Proxy-Logs auf verdächtige Zugriffsmuster.
Wie schwerwiegend ist CVE-2021-22017?
CVE-2021-22017 hat einen CVSS 3.1-Score von 5.3 (MEDIUM). Trotz des moderaten CVSS-Scores ist die Schwachstelle aufgrund der kritischen Rolle von vCenter Server in virtualisierten Umgebungen und des hohen EPSS-Scores von 74,08 % (98,8. Perzentile) als dringend einzustufen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.