VMware vCenter Server RCE — CVE-2021-21972 研究ラボ

著者: Niranjan Pokhrel

独立した研究プロジェクトとして、公開されているVMware vCenter Serverの重大な脆弱性を隔離されたホームラボで再現・文書化し、脆弱性クラス、悪用手順、防御的緩和策を理解することを目的としています。

概要

このプロジェクトの目的

vCenter ServerはVMware仮想化インフラストラクチャの中央管理プレーンであり、これを侵害することは仮想データセンター全体の侵害を意味します。この脆弱性は、単一のプラグインエンドポイントでの認証チェックの欠如が、ホスト全体の乗っ取りにまで拡大する典型的な例です。私はこのラボを構築し、CVE勧告を読むだけでなく、攻撃対象領域、悪用チェーン、そして同様に重要である防止策と防御的検出方法を実際に理解することを目指しました。

脆弱性の概要

この脆弱性は vSphere Client（HTML5）に存在し、具体的には認証を必要とせずにファイルアップロードエンドポイント（/ui/vropspluginui/rest/services/uploadova）を公開している vCenter Server プラグインにあります。ポート443へのネットワークアクセスを持つ攻撃者は、このエンドポイントに細工した POST リクエストを送信し、基盤となるOSのWeb公開ディレクトリに任意のファイル（Webシェルを含む）をアップロードできます。これにより、攻撃者はvCenterサービスの権限でコード実行が可能となり、事実上アプライアンスを完全に制御できます。

大まかな攻撃チェーンは次のとおりです。

1. 発見 — インターネットまたはネットワークに公開されたポート443のvCenter Serverを特定する。
2. 確認 — 脆弱な認証なしアップロードエンドポイントが期待どおりに応答することを確認する（有効なセッションは不要）。
3. 悪用 — Webシェルを含む悪意のあるアーカイブをWeb公開パスにアップロードし、HTTP経由で呼び出してホストOS上でコマンドを実行する。
4. 影響 — vCenterサービスアカウントとして任意のコマンド実行が可能になり、管理対象の仮想インフラストラクチャ全体への横展開が可能になる。

ラボ環境

本番データを含まない、完全に隔離された非インターネット接続の仮想ネットワークで構築:

• ハイパーバイザーホスト: VMware ESXi(ネストされた仮想化)
• ターゲット: vCenter Server Appliance。研究目的のみで、意図的に(パッチ適用前の)脆弱なバージョンを展開
• 攻撃者マシン: Kali Linux
• 検出ツール: コミュニティ保守のNSE脆弱性検出スクリプトを備えたNmap
• ネットワーク: 完全に隔離されたラボサブネット。インターネット公開なし。テスト後に破棄

(元のビルドの具体的なIPアドレス、資格情報、インフラストラクチャの詳細は、この公開レポートから意図的に省略しています。)

検出

脆弱性の存在は、ターゲットのアップロードエンドポイントがパッチ適用前の脆弱性と一致する応答をするかどうかをチェックする公開Nmap NSEスクリプトを使用して、防御側(つまりブルーチームや監査人)が確認できます。これは、脆弱性スキャナーや内部セキュリティチームが、攻撃者に先んじてネットワーク上の公開されたパッチ未適用のvCenterインスタンスを特定するために実行するのと同じ種類のチェックです。

nmap -p443 --script CVE-2021-21972.nse <target-ip>

脆弱なターゲットはスキャン出力でVULNERABLE (Exploitable)としてフラグが立てられ、それが直ちにパッチ適用を優先するトリガーになります。

悪用(概要のみ)

このCVEの動作する概念実証エクスプロイトは2021年から公開されています(元々はセキュリティ研究者 chacka0101 によって公開され、参考文献にリンクされています)。このプロフィールからすぐに実行可能なRCEペイロードを配布しないという観点から、ここではエクスプロイトコードを再現しません。このレポートの目的はツールではなく、理解です。要約すると、公開されているエクスプロイトは上記のステップ2〜3を自動化します。JSP Webシェルを想定されたアップロード形式にパッケージ化し、脆弱なエンドポイントにPOSTし、Web公開パスに配置されたことを確認し、それを使用して攻撃者へのリバースシェルをトリガーします。

緩和策と防御のポイント

• 直ちにパッチを適用する。 VMwareは影響を受けるすべてのバージョン(7.0 U1c+、6.7 U3l+、6.5 U3n+)向けの修正ビルドをリリースしました。パッチ適用が最も重要な修正策です。
• 管理インターフェースの露出を制限する。 オーストラリアサイバーセキュリティセンターのこのCVEに関する勧告では、vCenter管理インターフェースへのアクセスを内部的にも外部的にも制限することを推奨しています。仮想化インフラストラクチャの管理プレーンは、広く到達可能であってはなりません。
• ネットワークセグメンテーションとACL により、vCenterの管理ポートへのインバウンドアクセスを制限することで、パッチ適用前でも攻撃対象領域を減らせます。
• 脆弱なプラグインを無効化する ことは、パッチを直ちに適用できない場合の暫定的な回避策です(VMwareはvROpsプラグインの文書化された回避策を公開しています)。
• vCenterアプライアンス上の異常なファイルアップロード/Web公開ディレクトリへの新しいファイルを監視する ことを検出制御として行います。

実証されたスキル

• ネストされたESXi + vCenter Server仮想ラボをゼロから構築および構成
• ベンダーセキュリティ勧告(VMSA)およびCVE/CVSSスコアリングの読み取りと解釈
• Nmap NSEスクリプトを使用した脆弱性スキャンと検出
• SSRFおよび認証なしファイルアップロードの脆弱性クラスの理解
• 技術的な脆弱性を、ベンダーおよび国家サイバーセキュリティセンター(ACSC)の推奨事項に沿った具体的な緩和ガイダンスに変換

参考文献

1. VMware、VMSA-2021-0002: VMware vCenter Server updates address remote code execution vulnerability in the vSphere Client (CVE-2021-21972)、vmware.com
2. FIRST、CVSS v3.1 Calculator、first.org
3. CVE Details、CVE-2021-21972、cvedetails.com
4. VMware Knowledge Base、kb.vmware.com/s/article/82374
5. Australian Cyber Security Centre、VMware vCenter Server Plugin Remote Code Execution Vulnerability (CVE-2021-21972)、cyber.gov.au
6. chacka0101、Exploits for CVE-2021-21972、github.com/chacka0101/exploits

このプロジェクトは、教育および専門能力開発の目的で、完全に隔離された非本番ラボ環境で実施されました。許可なくシステムにアクセスすることはありませんでした。