CVE-2021-22005: VMware vCenter Server File Upload Vulnerability
A vulnerabilidade permite execução remota de código via upload de arquivos no serviço Analytics do vCenter Server. O vetor de ataque é de rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O risco é crítico, com impacto total em confidencialidade, integridade e disponibilidade. A exploração já está confirmada em ambientes reais e associada a grupos de ransomware. A prioridade de mitigação é alta.
Dados confirmados por NVD, EPSS (100 % de probabilidade) e inclusão no catálogo CISA KEV com exploração ativa, indicando alta confiabilidade
O que aconteceu
Um atacante com acesso à porta 443 do vCenter Server pode enviar um arquivo especialmente criado ao serviço Analytics, resultando em execução de código arbitrário no servidor. O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) indica que o ataque pode ser realizado remotamente, sem privilégios ou interação. O EPSS de 100 % indica que a exploração é praticamente certa nos próximos 30 dias.
Por que isso importa
A execução de código no vCenter compromete todo o ambiente de virtualização, permitindo roubo de dados, alteração de máquinas virtuais e interrupção de serviços críticos. Como o vCenter gerencia a infraestrutura, a falha afeta a disponibilidade de toda a camada de nuvem privada. Organizações que dependem de VMware para produção podem sofrer perdas financeiras e de reputação.
Quem está em risco
Organizações que utilizam VMware vCenter Server (versões Cloud Foundation 3.0‑4.9) em ambientes corporativos globais, especialmente setores que dependem de alta disponibilidade de infraestrutura virtualizada.
Detalhes técnicos
Vetor de ataque: NETWORK, Complexidade: LOW, Privilégios: NONE, Interação do usuário: NONE. Exploração via upload de arquivo no serviço Analytics (CWE‑22 Path Traversal). Permite execução remota de código (ATT&CK T1190 – Exploit Public‑Facing Application; ATT&CK T1059 – Command Execution). Referência de PoC: http://packetstormsecurity.com/files/164439/VMware-vCenter-Server-Analytics-CEIP-Service-File-Upload.html
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o VMware vCenter Server para a versão 5.0 ou superior, conforme advisory VMSA‑2021‑0020
- 2
Aplique imediatamente as atualizações fornecidas pelo vendor, obedecendo ao prazo CISA KEV 2021‑11‑17
- 3
Desative ou restrinja o serviço Analytics/CEIP se não for necessário, limitando uploads a diretórios seguros
Sugestões de detecção
- ›
Analise vpxd.log e syslog para requisições HTTP POST ao endpoint /analytics/ceip/upload; filtre por códigos de resposta 200 e tipos de arquivo incomuns
- ›
Monitore criação de processos vpxd.exe com argumentos que referenciem caminhos de arquivos temporários ou scripts recém‑carregados
- ›
Correlacione eventos de firewall que mostrem tráfego inbound na porta 443 ao IP do vCenter seguido de conexões outbound inesperadas
Falsos positivos
Não há IOCs estruturados; uploads legítimos ao serviço Analytics podem gerar eventos semelhantes, exigindo correlação com tipos de arquivo e origem da conexão