CVE-2021-22054
Omnissa Workspace ONE Server-Side Request Forgery
Beschreibung
CVE-2021-22054 ist eine schwerwiegende Server-Side Request Forgery (SSRF)-Schwachstelle in der Omnissa Workspace ONE UEM-Konsole mit einem CVSS-3.1-Score von 7.5 (HIGH). Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer, serverseitige Anfragen zu senden und auf sensible Informationen des UEM-Konsolenservers zuzugreifen. Betroffene Versionen umfassen 20.0.8 vor 20.0.8.37, 20.11.0 vor 20.11.0.40, 21.2.0 vor 21.2.0.27 und 21.5.0 vor 21.5.0.37. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, hinzugefügt am 2026-03-09 mit einer Behebungsfrist bis zum 2026-03-23. Mit einem EPSS-Score von 0,935 (93,5%) gehört diese Schwachstelle zu den am häufigsten ausgenutzten und erfordert sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | workspace one uem console | >= 20.0.8.0, < 20.0.8.36; >= 20.11.0.0, < 20.11.0.40; >= 21.2.0.0, < 21.2.0.27; >= 21.5.0.0, < 21.5.0.37 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2021-0029.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22054(US Government Resource)
- https://www.greynoise.io/blog/new-ssrf-exploitation-surge(Third Party Advisory)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2021-22054 wird unter CWE-918 klassifiziert — Server-Side Request Forgery (SSRF). SSRF-Schwachstellen treten auf, wenn eine Webanwendung eine entfernte Ressource basierend auf benutzerdefinierter Eingabe abruft, ohne die Ziel-URL ordnungsgemäß zu validieren. Dies ermöglicht einem Angreifer, den Server dazu zu zwingen, Anfragen an beliebige interne oder externe Ziele zu senden, wodurch potenziell auf interne Dienste, Cloud-Metadaten-Endpunkte, administrative Schnittstellen und andere Ressourcen zugegriffen werden kann, die nicht aus dem Internet erreichbar sein sollten.
Im Kontext von Omnissa Workspace ONE UEM, einer Enterprise-Unified-Endpoint-Management-Plattform, ist SSRF besonders gefährlich. Der UEM-Konsolenserver befindet sich typischerweise in einer privilegierten Netzwerkposition mit Zugang zu interner Verwaltungsinfrastruktur, Geräteregistrierungsdiensten, Verzeichnisdiensten und potenziell Cloud-Provider-Metadaten-Endpunkten. Eine nicht authentifizierte SSRF-Schwachstelle in diesem Kontext ermöglicht es einem externen Angreifer, die interne Netzwerktopologie zu kartieren, auf interne Dienste zuzugreifen, Cloud-Instanz-Zugangsdaten aus Metadaten-APIs abzurufen und sensible Konfigurationsdaten zu exfiltrieren — alles ohne jegliche Authentifizierungsanforderung.
Auswirkungsanalyse
CVE-2021-22054 hat einen CVSS-3.1-Score von 7.5 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.
Vertraulichkeit (HIGH): Die SSRF-Schwachstelle ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf sensible Informationen, indem der UEM-Konsolenserver dazu gebracht wird, Anfragen an interne Ressourcen zu senden. Dies umfasst potenziellen Zugang zu internen Dienstantworten, Cloud-Metadaten-Endpunkten (wie AWS IMDSv1 unter 169.254.169.254), Konfigurationsdateien, Verzeichnisdienstdaten und anderen internen Ressourcen, die von der Netzwerkposition des Servers erreichbar sind.
Integrität (NONE): Die Schwachstelle ermöglicht in der bewerteten Form keine direkte Datenmodifikation. Abhängig von den über SSRF erreichbaren internen Diensten sind jedoch indirekte Integritätsauswirkungen durch verkettete Angriffe möglich.
Verfügbarkeit (NONE): Die Schwachstelle beeinträchtigt nicht direkt die Verfügbarkeit der UEM-Konsole oder der verwalteten Endpunkte.
Die Kombination aus fehlender Authentifizierungsanforderung, keiner Benutzerinteraktion und netzwerkbasiertem Angriffsvektor mit niedriger Komplexität macht diese Schwachstelle trivial in großem Maßstab ausnutzbar. Der EPSS-Score von 93,5% spiegelt diese Realität wider.
Exploit-Reifegrad
Exploit-Status: CVE-2021-22054 wird aktiv in der Praxis ausgenutzt und ist seit dem 2026-03-09 im CISA Known Exploited Vulnerabilities Katalog gelistet. Der EPSS-Score von 93,5% platziert diese Schwachstelle in der höchsten Stufe der Ausnutzungswahrscheinlichkeit. Öffentlicher Exploit-Code und Proof-of-Concept-Materialien sind weit verbreitet, was die Ausnutzung für Angreifer verschiedener Fähigkeitsstufen zugänglich macht.
Ransomware-Bezug: SSRF-Schwachstellen werden häufig als Initial-Access-Vektoren in mehrstufigen Angriffen verwendet. Obwohl CVE-2021-22054 selbst Informationsoffenlegung statt direkter Code-Ausführung bietet, werden die geleakten Zugangsdaten und der interne Zugang häufig für Lateral Movement in Ransomware-Kampagnen genutzt.
Angriffsfläche: Jede internetexponierte Workspace ONE UEM-Konsole mit betroffenen Versionen ist ohne jegliche Authentifizierungsanforderung verwundbar. Die Schwachstelle ist seit 2021 bekannt, was Bedrohungsakteuren Jahre zur Entwicklung und Verfeinerung von Ausnutzungstechniken gegeben hat.
KEV-Frist: Die CISA hat eine Behebungsfrist bis zum 2026-03-23 festgelegt. Angesichts des extrem hohen EPSS-Scores und der langjährigen Verfügbarkeit von Exploits sollten Organisationen, die noch nicht gepatcht haben, dies als Notfall behandeln.
Behebung
- Hersteller-Patches umgehend anwenden. Aktualisieren Sie Workspace ONE UEM auf die gepatchten Versionen: 20.0.8.37, 20.11.0.40, 21.2.0.27, 21.5.0.37 oder höher. Konsultieren Sie den Omnissa (ehemals VMware) Sicherheitshinweis für spezifische Upgrade-Anleitung.
- Alle betroffenen Instanzen identifizieren. Erfassen Sie alle Workspace ONE UEM-Konsolenbereitstellungen in Ihrer Infrastruktur. Betroffene Versionen sind 20.0.8 vor 20.0.8.37, 20.11.0 vor 20.11.0.40, 21.2.0 vor 21.2.0.27 und 21.5.0 vor 21.5.0.37.
- Netzwerkzugang zu UEM-Konsolen einschränken. Implementieren Sie Netzwerkebene-Zugriffskontrollen, um den Zugang zur UEM-Konsole zu begrenzen. Platzieren Sie die Konsole hinter einer WAF oder einem Reverse Proxy, der bösartige SSRF-Payloads filtern kann.
- Ausgehenden Netzwerkverkehr von UEM-Servern einschränken. Implementieren Sie Egress-Filtering, um zu verhindern, dass der UEM-Server Anfragen an interne Metadaten-Endpunkte (169.254.169.254), interne Netzwerkbereiche und andere sensible Ziele sendet.
- Vom UEM-Server erreichbare Zugangsdaten rotieren. Gehen Sie davon aus, dass alle Zugangsdaten, API-Schlüssel oder Tokens, die von der Netzwerkposition des UEM-Servers erreichbar sind, kompromittiert sein könnten. Dies umfasst Cloud-Provider-Zugangsdaten, Datenbankverbindungs-Strings und Integrations-Zugangsdaten.
- Auf frühere Ausnutzung untersuchen. Überprüfen Sie UEM-Konsolen-Zugriffsprotokolle und Webserver-Logs auf ungewöhnliche Anfragemuster, insbesondere Anfragen an interne IP-Adressen oder Metadaten-Endpunkte.
Technische Details
CVE-2021-22054 ist eine schwerwiegende SSRF-Schwachstelle in der Omnissa Workspace ONE UEM-Konsole, die ohne Authentifizierung aus der Ferne ausnutzbar ist. Die Angriffskomplexität ist niedrig, keine Privilegien sind erforderlich und keine Benutzerinteraktion ist nötig.
Technischer Mechanismus: Die Workspace ONE UEM-Konsole enthält Funktionalität, die benutzerdefinierte URLs oder URL-Komponenten ohne ausreichende Validierung des Ziels verarbeitet. Ein Angreifer kann Anfragen erstellen, die den Server dazu bringen, HTTP-Verbindungen zu vom Angreifer spezifizierten Zielen zu initiieren, einschließlich interner Netzwerkadressen, Localhost-Dienste und Cloud-Metadaten-Endpunkte. Die Antworten des Servers auf diese internen Anfragen werden dann an den Angreifer zurückgegeben, was Informationsoffenlegung aus ansonsten unzugänglichen internen Ressourcen ermöglicht.
CVSS-3.1-Vektoranalyse (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N): Der Netzwerk-Angriffsvektor bestätigt Remote-Ausnutzung. Niedrige Angriffskomplexität bedeutet, dass die SSRF unkompliziert auszulösen ist. Keine Privilegien oder Benutzerinteraktion sind erforderlich. Der Unchanged Scope bedeutet, dass die direkte Auswirkung auf Daten beschränkt ist, die von der Netzwerkposition des UEM-Servers erreichbar sind. Die Vertraulichkeitsauswirkung ist HIGH, während Integrität und Verfügbarkeit nicht direkt betroffen sind.
Betroffene Versionen: Workspace ONE UEM 20.0.8 (vor 20.0.8.37), 20.11.0 (vor 20.11.0.40), 21.2.0 (vor 21.2.0.27) und 21.5.0 (vor 21.5.0.37).
Häufig gestellte Fragen
Was ist CVE-2021-22054?
CVE-2021-22054 ist eine schwerwiegende (CVSS 7.5) Server-Side Request Forgery (SSRF)-Schwachstelle in der Omnissa Workspace ONE UEM-Konsole. Sie ermöglicht einem nicht authentifizierten entfernten Angreifer, den Server dazu zu bringen, Anfragen an interne Ressourcen zu senden und auf sensible Informationen zuzugreifen. Sie wird aktiv ausgenutzt und ist im CISA KEV-Katalog gelistet.
Welche Versionen von Workspace ONE UEM sind betroffen?
Betroffen sind die Versionen 20.0.8 vor 20.0.8.37, 20.11.0 vor 20.11.0.40, 21.2.0 vor 21.2.0.27 und 21.5.0 vor 21.5.0.37. Organisationen sollten auf die entsprechenden gepatchten Versionen oder höher aktualisieren.
Wie behebe ich CVE-2021-22054?
Aktualisieren Sie Workspace ONE UEM auf eine gepatchte Version (20.0.8.37, 20.11.0.40, 21.2.0.27 oder 21.5.0.37 oder höher). Beschränken Sie zusätzlich den Netzwerkzugang zur UEM-Konsole, implementieren Sie Egress-Filtering und rotieren Sie alle vom Server erreichbaren Zugangsdaten.
Wie schwerwiegend ist CVE-2021-22054?
CVE-2021-22054 ist mit einem CVSS-Score von 7.5 als HIGH eingestuft und hat einen außergewöhnlich hohen EPSS-Score von 93,5%, was sie zu einer der am häufigsten ausgenutzten Schwachstellen macht. Sie erfordert keine Authentifizierung und ist trivial ausnutzbar. Die CISA-KEV-Behebungsfrist ist der 2026-03-23.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.