VMware vCenter Server RCE — CVE-2021-21972 Forschungslabor

Autor: Niranjan Pokhrel

Unabhängiges Forschungsprojekt, das eine kritische, öffentlich bekannt gemachte Schwachstelle im VMware vCenter Server in einem isolierten Heimlabor reproduziert und dokumentiert, um die Schwachstellenklasse, den Ausnutzungsweg und defensive Gegenmaßnahmen zu verstehen.

Zusammenfassung

Warum dieses Projekt

vCenter Server ist die zentrale Verwaltungsebene für virtualisierte VMware-Infrastrukturen – eine Kompromittierung kann die Kompromittierung eines gesamten virtuellen Rechenzentrums bedeuten. Diese Schwachstelle ist ein Lehrbuchbeispiel dafür, wie eine fehlende Authentifizierungsprüfung an einem einzelnen Plugin-Endpunkt zu einer vollständigen Übernahme des Hosts eskalieren kann. Ich habe dieses Labor aufgebaut, um vom bloßen Lesen eines CVE-Advisorys zum tatsächlichen Verständnis der Angriffsfläche, der Exploit-Kette und – ebenso wichtig – der Frage zu gelangen, wie dies hätte verhindert werden können und wie es defensiv erkannt werden kann.

Überblick über die Schwachstelle

Die Schwachstelle befindet sich im vSphere Client (HTML5), genauer gesagt in einem vCenter-Server-Plugin, das einen Datei-Upload-Endpunkt (/ui/vropspluginui/rest/services/uploadova) ohne Authentifizierung bereitstellt. Ein Angreifer mit Netzwerkzugriff auf Port 443 kann eine manipulierte POST-Anfrage an diesen Endpunkt senden und beliebige Dateien – einschließlich einer Web-Shell – in ein über das Web erreichbares Verzeichnis des zugrunde liegenden Betriebssystems hochladen. Dies verschafft dem Angreifer Codeausführung mit den Rechten des vCenter-Dienstes, also praktisch die vollständige Kontrolle über die Appliance.

Auf hoher Ebene sieht die Angriffskette wie folgt aus:

1. Erkennung – Identifizieren eines über das Internet oder Netzwerk exponierten vCenter Servers auf Port 443.
2. Verifizierung – Bestätigen, dass der anfällige, nicht authentifizierte Upload-Endpunkt wie erwartet antwortet (keine gültige Sitzung erforderlich).
3. Ausnutzung – Hochladen eines bösartigen Archivs mit einer Web-Shell in einen über das Web erreichbaren Pfad und anschließendes Aufrufen per HTTP, um Befehle auf dem Host-Betriebssystem auszuführen.
4. Auswirkungen – Beliebige Befehlsausführung mit dem vCenter-Dienstkonto, was laterale Bewegung innerhalb der verwalteten virtuellen Infrastruktur ermöglicht.

Laborumgebung

Vollständig aufgebaut in einem isolierten, nicht mit dem Internet verbundenen virtuellen Netzwerk ohne Produktionsdaten:

• Hypervisor-Host: VMware ESXi (verschachtelte Virtualisierung)
• Zielsystem: vCenter Server Appliance, absichtlich in einer anfälligen Version (vor dem Patch) ausschließlich zu Forschungszwecken bereitgestellt
• Angreifer-Maschine: Kali Linux
• Erkennungswerkzeuge: Nmap mit einem von der Community gepflegten NSE-Skript zur Schwachstellenerkennung
• Netzwerk: vollständig isoliertes Labor-Subnetz, keine Internet-Exposition, nach den Tests wieder abgebaut

(Konkrete IP-Adressierung, Zugangsdaten und Infrastrukturdetails aus dem ursprünglichen Aufbau werden in diesem öffentlichen Bericht bewusst weggelassen.)

Erkennung

Das Vorhandensein der Schwachstelle kann defensiv (d. h. durch ein Blue Team oder einen Auditor) mit einem öffentlichen Nmap-NSE-Skript bestätigt werden, das prüft, ob der Upload-Endpunkt des Ziels auf eine Weise antwortet, die mit der ungepatchten Schwachstelle konsistent ist – das ist dieselbe Art von Prüfung, die ein Schwachstellenscanner oder ein internes Sicherheitsteam durchführen würde, um exponierte, ungepatchte vCenter-Instanzen in ihrem Netzwerk zu identifizieren, bevor ein Angreifer dies tut.

nmap -p443 --script CVE-2021-21972.nse <target-ip>

Ein anfälliges Ziel wird in der Scan-Ausgabe als VULNERABLE (Exploitable) gekennzeichnet, was der Auslöser ist, um sofortiges Patchen zu priorisieren.

Ausnutzung (nur auf hoher Ebene)

Ein funktionsfähiger Proof-of-Concept-Exploit für diese CVE ist seit 2021 öffentlich verfügbar (ursprünglich veröffentlicht vom Sicherheitsforscher chacka0101, verlinkt in Referenzen). Um von diesem Profil aus keinen einsatzbereiten RCE-Payload zu verbreiten, reproduziere ich den Exploit-Code hier nicht – der Sinn dieses Berichts ist das Verständnis, nicht das Werkzeug. Zusammengefasst automatisiert der öffentliche Exploit die Schritte 2–3 oben: Er verpackt eine JSP-Web-Shell im erwarteten Upload-Format, sendet sie per POST an den anfälligen Endpunkt, bestätigt, dass sie in einem über das Web erreichbaren Pfad gelandet ist, und nutzt sie dann, um eine Reverse-Shell zurück zum Angreifer auszulösen.

Gegenmaßnahmen & defensive Erkenntnisse

• Sofort patchen. VMware hat für alle betroffenen Versionen korrigierte Builds veröffentlicht (7.0 U1c+, 6.7 U3l+, 6.5 U3n+) – Patchen bleibt die primäre Lösung.
• Exposition der Verwaltungsschnittstellen einschränken. Das Advisory des Australian Cyber Security Centre zu dieser CVE empfahl, den Zugriff auf die vCenter-Verwaltungsschnittstellen sowohl intern als auch extern einzuschränken – Verwaltungsebenen von Virtualisierungsinfrastruktur sollten niemals breit erreichbar sein.
• Netzwerksegmentierung & ACLs, die den eingehenden Zugriff auf den Verwaltungsport von vCenter begrenzen, verringern die Angriffsfläche bereits vor dem Einspielen eines Patches.
• Das anfällige Plugin deaktivieren als interimistische Umgehung, wenn ein Patch nicht sofort möglich ist (VMware hat einen dokumentierten Workaround für das vROps-Plugin veröffentlicht).
• Auf anomale Datei-Uploads / neue Dateien in über das Web erreichbaren Verzeichnissen auf vCenter-Appliances als Erkennungskontrolle überwachen.

Demonstrierte Fähigkeiten

• Aufbau und Konfiguration eines verschachtelten virtuellen Labs mit ESXi + vCenter Server von Grund auf
• Lesen und Interpretieren von Hersteller-Sicherheitsadvisories (VMSA) sowie CVE/CVSS-Bewertungen
• Schwachstellenscanning und -erkennung mithilfe von Nmap-NSE-Skripten
• Verständnis der Schwachstellenklassen SSRF und nicht authentifizierter Datei-Upload
• Aufbereitung einer technischen Schwachstelle zu konkreten Gegenmaßnahmen im Einklang mit den Empfehlungen des Herstellers und des nationalen Cybersicherheitszentrums (ACSC)

Referenzen

1. VMware, VMSA-2021-0002: VMware vCenter Server-Updates beheben eine Remote-Code-Ausführungs-Schwachstelle im vSphere Client (CVE-2021-21972), vmware.com
2. FIRST, CVSS-v3.1-Rechner, first.org
3. CVE Details, CVE-2021-21972, cvedetails.com
4. VMware Knowledge Base, kb.vmware.com/s/article/82374
5. Australian Cyber Security Centre, VMware vCenter Server Plugin Remote Code Execution Vulnerability (CVE-2021-21972), cyber.gov.au
6. chacka0101, Exploits für CVE-2021-21972, github.com/chacka0101/exploits

Dieses Projekt wurde in einer vollständig isolierten, nicht produktiven Laborumgebung zu Bildungs- und beruflichen Weiterbildungszwecken durchgeführt. Es wurde auf keine unbefugten Systeme zugegriffen.