CVE-2021-21985: Execução Remota em VMware vCenter Server
Vulnerabilidade crítica de validação de entrada no plug‑in Virtual SAN Health Check permite execução remota de código em vCenter Server. A exploração já está confirmada em ambientes reais e associada a grupos de ransomware. O risco afeta a confidencialidade, integridade e disponibilidade dos sistemas VMware. A CISA exige aplicação de patches até 17/11/2021. Prioridade máxima para mitigação.
NVD, EPSS (100 % de exploração) e inclusão no CISA KEV confirmam a vulnerabilidade, a exploração ativa e a necessidade de mitigação imediata.
O que aconteceu
O plug‑in Virtual SAN Health Check, habilitado por padrão, não valida corretamente parâmetros de entrada, possibilitando um ataque SSRF (CWE‑918) que culmina em execução de código arbitrário. O CVSS 3.1 indica vetor de ataque de rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário. O EPSS aponta 100 % de chance de exploração nos próximos 30 dias, confirmando alta probabilidade de ataque ativo.
Por que isso importa
Um invasor pode obter controle total sobre o vCenter Server, comprometendo todos os hosts e máquinas virtuais gerenciados. Isso pode levar à interrupção de serviços críticos, roubo de dados sensíveis e uso da infraestrutura para espalhar ransomware. A vulnerabilidade impacta diretamente a disponibilidade de ambientes de produção corporativos.
Quem está em risco
Organizações que utilizam VMware vCenter Server (cloud_foundation) nas versões 3.x <3.10.2.1 ou 4.x <4.2.1, especialmente em ambientes corporativos globais.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios: NONE; Interação do usuário: NONE. CWE‑918 (Server‑Side Request Forgery) permite que o atacante envie requisições manipuladas ao serviço interno, resultando em RCE. Exploit/PoC disponível em http://packetstormsecurity.com/files/163487/VMware-vCenter-Server-Virtual-SAN-Health-Check-Remote-Code-Execution.html. Não há MITRE ATT&CK mapeado explicitamente na fonte.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o vCenter Server para a versão 3.10.2.1 ou superior, ou 4.2.1 ou superior, conforme a série instalada, usando as instruções do advisory VMSA‑2021‑0010
- 2
Aplique imediatamente as atualizações recomendadas pelo fornecedor antes do prazo CISA 2021‑11‑17
- 3
Desabilite o plug‑in Virtual SAN Health Check se não for necessário, reduzindo a superfície de ataque
Sugestões de detecção
- ›
Consulte logs de vCenter (vpxd.log) por requisições HTTP incomuns ao endpoint /vsanHealth/ com parâmetros suspeitos; filtre por sourceIP externo e responseCode 500 ou 200 inesperado
- ›
Monitore criação de processos vmware‑vsan‑health‑service ou execuções de scripts PowerShell/CLI que iniciam conexões outbound inesperadas; correlacione com eventos de login privilegiado
Falsos positivos
Não há dados suficientes para avaliar falsos positivos.