CVE-2021-21972 – RCE em VMware vCenter Server via plugin
A vulnerabilidade CVE-2021-21972 permite execução remota de código em VMware vCenter Server através de um plugin vulnerável. O vetor é rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O EPSS indica 99.9% de chance de exploração nos próximos 30 dias e a CISA já confirmou exploração ativa. O risco é crítico, pois o atacante obtém privilégios ilimitados no host. A prioridade de mitigação é imediata.
Dados confirmados por NVD, EPSS com alta pontuação, e inclusão no catálogo CISA KEV com prazo de mitigação obrigatório, indicando exploração ativa e alta probabilidade de ataque.
O que aconteceu
Um plugin do vSphere Client em vCenter Server aceita uploads de arquivos sem validação, resultando em path traversal (CWE-22) e execução arbitrária de comandos. O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) traduz-se em ataque de rede simples, sem necessidade de credenciais ou interação humana. O EPSS de 99.9% indica que exploits estão amplamente disponíveis e provavelmente serão usados em curto prazo.
Por que isso importa
Um invasor que alcance a porta 443 do vCenter pode comprometer todo o ambiente de virtualização, roubar dados, interromper serviços e facilitar movimentos laterais. A exploração pode ser usada por grupos de ransomware, ampliando o impacto financeiro e de reputação. A presença global do produto eleva o escopo de risco para organizações de todos os setores.
Quem está em risco
Organizações que utilizam VMware vCenter Server (incluindo Cloud Foundation 3.x e 4.x) em ambientes corporativos globais.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios exigidos: NONE; Interação do usuário: NONE. CWE-22 (Path Traversal). Técnicas MITRE ATT&CK: T1190 (Exploitation of Public-Facing Application), T1068 (Exploitation for Privilege Escalation), T1210 (Exploitation of Remote Services). Versões vulneráveis: cloud_foundation >=3.0 <3.10.1.2 e >=4.0 <4.2. Patches disponíveis em https://www.vmware.com/security/advisories/VMSA-2021-0002.html. Exploits/PoC: http://packetstormsecurity.com/files/161590/VMware-vCenter-Server-7.0-Arbitrary-File-Upload.html, http://packetstormsecurity.com/files/161695/VMware-vCenter-Server-File-Upload-Remote-Code-Execution.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar imediatamente os patches da VMware (atualizar para >=3.10.1.2 ou >=4.2, conforme a série) conforme instruções do advisory
- 2
Verificar a versão instalada do vCenter Server após a atualização usando a API ou a interface de administração
- 3
Restringir o acesso à porta 443 do vCenter a sub‑redes confiáveis e habilitar autenticação multifator para contas administrativas
Sugestões de detecção
- ›
Consultar logs de servidor web (nginx/Apache) para requisições POST a caminhos de plugin que contenham "../" ou extensões suspeitas; filtrar por src_ip fora da sub‑rede de gerenciamento
- ›
Monitorar eventos de criação de processos (Windows Event ID 4688 ou Linux auditd) para o serviço vCenter com argumentos de linha de comando incomuns ou caminhos de arquivo inesperados
- ›
Implementar regras de IDS/IPS que detectem padrões de exploit conhecidos para CVE-2021-21972, como payloads de upload de arquivo arbitrário
Falsos positivos
Sem IOCs estruturados; uploads de arquivos legítimos por administradores podem gerar alertas semelhantes, portanto correlacione com horário e identidade de usuário autenticado.