[CVE-2021-21972] VMware vSphere Client Unerlaubter Datei-Upload zu Remote Code Execution (RCE)

Der vSphere Web Client (HTML5) ist im Wesentlichen eine administrative Oberfläche, die die Verwaltung einer vSphere-Installation ermöglicht. Der vSphere Client bietet einem Administrator Zugriff auf die wichtigsten Funktionen von vSphere, ohne direkt auf einen vSphere-Server zugreifen zu müssen. Administratoren können damit neue virtuelle Maschinen erstellen, bestehende verwalten und deren Ressourcen steuern. Als plattformübergreifende Webanwendung kann er über die unterstützten Versionen verschiedener Webbrowser auf allen unterstützten Betriebssystemen verwendet werden.

CVE-2021-21972 ist eine Schwachstelle durch unerlaubten Datei-Upload in vCenter Server, die zu Remote Code Execution auf dem entfernten Server führt. Das Problem beruht auf fehlender Authentifizierung im vRealize Operations vCenter Plugin. Es erhielt einen kritischen CVSSv3-Score von 9,8 von 10,0. Ein nicht authentifizierter, entfernter Angreifer könnte diese Schwachstelle ausnutzen, indem er eine speziell präparierte Datei auf einen öffentlich zugänglichen, anfälligen vCenter Server-Endpunkt lädt. Die VMware vCenter Server-Versionen 6.5, 6.7 und 7.0 sind von dieser Schwachstelle betroffen. Eine erfolgreiche Ausnutzung dieser Schwachstelle würde es einem Angreifer ermöglichen, uneingeschränkte Remote Code Execution (RCE)-Berechtigungen im zugrunde liegenden Betriebssystem des vCenter Servers zu erlangen. Obwohl diese Schwachstelle vom vRealize Operations vCenter Plugin ausgeht, bestätigt das VMware Advisory, dass dieses Plugin in allen Standardinstallationen von vCenter Server enthalten ist. Dies bedeutet, dass der anfällige Endpunkt unabhängig vom Vorhandensein von vRealize Operations verfügbar ist.

Im ursprünglichen Blogbeitrag hier wird die Entdeckung der Schwachstelle so detailliert wie möglich erläutert, sowie zwei separate Wege zur Erreichung von RCE. Bei Windows-Systemen könnte ein Angreifer eine speziell präparierte .jsp-Datei hochladen, um NT AUTHORITY\SYSTEM-Berechtigungen auf dem zugrunde liegenden Betriebssystem zu erlangen. Bei Linux-Systemen müsste ein Angreifer einen öffentlichen Schlüssel generieren und auf den authorized_keys-Pfad des Servers hochladen und sich dann per SSH mit dem anfälligen Server verbinden, um vsphere-ui-Benutzerrechte zu erlangen (sofern der SSH-Dienst läuft und über das Netzwerk erreichbar ist).

vropsplugin-service.jar ist eine Java-Archivdatei des vropspluginui-Plugins und enthält einige Klassen sowie andere zugehörige Funktionen und Methoden. Der anfällige Teil des Codes ist unten dargestellt. Dieses Code-Snippet gehört zur ServicesController.class im Controller von vropsplugin-service.jar. Wie Sie im folgenden Code-Snippet sehen können, ist die Funktion uploadOvaFile für den Endpunkt/URL /ui/vropspluginui/rest/services/uploadova verantwortlich.

Vollständiger Pfad der anfälligen Klasse: vropsplugin-service\com\vmware\vropspluginui\mvc\ServicesController.class

@RequestMapping(value = {"/uploadova"}, method = {RequestMethod.POST})
  public void uploadOvaFile(@RequestParam(value = "uploadFile", required = true) CommonsMultipartFile uploadFile, HttpServletResponse response) throws Exception {
    logger.info("Entering uploadOvaFile api");
    int code = uploadFile.isEmpty() ? 400 : 200;
    PrintWriter wr = null;
    try {
      if (code != 200) {
        response.sendError(code, "Arguments Missing");
        return;
      } 
      wr = response.getWriter();
    } catch (IOException e) {
      e.printStackTrace();
      logger.info("upload Ova Controller Ended With Error");
    } 
    response.setStatus(code);
    String returnStatus = "SUCCESS";
    if (!uploadFile.isEmpty())
      try {
        logger.info("Downloading OVA file has been started");
        logger.info("Size of the file received  : " + uploadFile.getSize());
        InputStream inputStream = uploadFile.getInputStream();
        File dir = new File("/tmp/unicorn_ova_dir");
        if (!dir.exists()) {
          dir.mkdirs();
        } else {
          String[] entries = dir.list();
          for (String str : entries) {
            File currentFile = new File(dir.getPath(), str);
            currentFile.delete();
          } 
          logger.info("Successfully cleaned : /tmp/unicorn_ova_dir");
        } 
        TarArchiveInputStream in = new TarArchiveInputStream(inputStream);
        TarArchiveEntry entry = in.getNextTarEntry();
        List<String> result = new ArrayList<String>();
        while (entry != null) {
          if (entry.isDirectory()) {
            entry = in.getNextTarEntry();
            continue;
          } 
          File curfile = new File("/tmp/unicorn_ova_dir", entry.getName());
          File parent = curfile.getParentFile();
          if (!parent.exists())
            parent.mkdirs(); 
          OutputStream out = new FileOutputStream(curfile);
          IOUtils.copy((InputStream)in, out);
          out.close();
          result.add(entry.getName());
          entry = in.getNextTarEntry();
        } 
        in.close();
        logger.info("Successfully deployed File at Location :/tmp/unicorn_ova_dir");
      } catch (Exception e) {
        logger.error("Unable to upload OVA file :" + e);
        returnStatus = "FAILED";
      }  
    wr.write(returnStatus);
    wr.flush();
    wr.close();
  }

Aus Angreifersicht führt der Handler dieser Klasse die folgenden Aktionen aus

Empfängt den Parameter uploadFile mit einer POST-Methode-Anfrage (Zeile 2)
Liest den Parameter uploadFile und schreibt den Inhalt dieses Parameters in die Variable inputStream (Zeile 22)
Öffnet die resultierenden Daten als .tar-Archiv (Zeile 34)
Ruft alle Einträge des Archivs ab (Zeile 35)
Kopiert jeden aktuellen Eintrag, der mit der Dateibenennungskonvention /tmp/unicorn_ova_dir + entry.getName() auf der Festplatte erstellt wird (Zeile 42 und 47)

Proof of Concept: Um diese Schwachstelle auszunutzen, können Sie die folgenden Schritte verwenden

Überprüfen der Schwachstelle
Erstellen eines .tar-Archiv-Eintrags, der die Zeichenfolge ../../ enthält
Hochladen der präparierten Archivdatei auf den Server
Navigieren zum entsprechenden Pfad und Aufrufen der von Ihnen hochgeladenen Datei /statsreport/uploadedFileName.jsp

Um die Schwachstelle zu überprüfen, können Sie die folgende Anfrage verwenden

GET /ui/vropspluginui/rest/services/getstatus HTTP/1.1
Host: vulnerablehost
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36
Connection: close

Wenn die Antwort auf die obige Anfrage den untenstehenden Antworten ähnelt, bedeutet dies, dass der entfernte Host anfällig für CVE-2021-21972 ist

HTTP/1.1 200 
Strict-Transport-Security: max-age=30758400;includeSubDomains
X-XSS-Protection: 1; mode=block
Set-Cookie: VSPHERE-UI-JSESSIONID=35CB9D3F277D6B8413F099F93FB3A5CE; Path=/ui; Secure; HttpOnly
Content-Type: text/plain;charset=ISO-8859-1
Content-Length: 141
Date: Tue, 06 Apr 2021 14:32:30 GMT
Connection: close
Server: Anonymous

{"States":"[]","Install Progress":"UNKNOWN","Config Progress":"UNKNOWN","Config Final Progress":"UNKNOWN","Install Final Progress":"UNKNOWN"}

CVE-2021-21972

Beliebteste