Trusted Design

CVE-2021-21985 の詳細

CVEの情報

説明:
The vSphere Client (HTML5) contains a remote code execution vulnerability due to lack of input validation in the Virtual SAN Health Check plug-in which is enabled by default in vCenter Server. A malicious actor with network access to port 443 may exploit this issue to execute commands with unrestricted privileges on the underlying operating system that hosts vCenter Server.

CVE更新日: 2021-05-26 15:15:07.937000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-21985について、以下の観点で解説します。

1. 脆弱性の概要

VMware vCenter ServerのvSphere Client (HTML5) に存在するリモートコード実行（RCE）の脆弱性です。この脆弱性は、デフォルトで有効になっているVirtual SAN Health Checkプラグインにおける入力検証の不備に起因します。 攻撃者は、この不備を利用して、細工されたリクエストを介して任意のコマンドを、vCenter Serverが稼働する基盤となるオペレーティングシステム上で、無制限の権限で実行できます。

1.1 影響

  • ネットワーク経由でポート443にアクセス可能な悪意のある攻撃者が、vCenter Serverをホストしている基盤のオペレーティングシステム上で無制限の権限でコマンドを実行できる可能性があります。
  • 認証されていない攻撃者が、特権的なリモートコード実行アクセスを獲得することを可能にします。
  • 機密情報の窃取、ランサムウェアのインストール、または内部ネットワークへの侵入（ピボット）につながる可能性があります。
  • vCenter Serverが外部に公開されていなくても、内部ネットワークにアクセスできる攻撃者によって悪用される可能性があります。

1.2 深刻度

  • 深刻度は「Critical（緊急）」と評価されています。
  • CVSSv3の基本スコアは9.8です。
  • 攻撃の複雑度が低く、データの機密性、完全性、可用性に高い影響を与える可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、特定のOSバージョンではなく、VMware vCenter ServerおよびVMware Cloud Foundationの特定のバージョンに影響を与えます。

  • vCenter Server:
    • 7.0系の7.0 U2bより前のバージョン
    • 6.7系の6.7 U3nより前のバージョン
    • 6.5系の6.5 U3pより前のバージョン
  • Cloud Foundation (vCenter Server):
    • 4系の4.2.1より前のバージョン
    • 3系の3.10.2.1より前のバージョン

2.2 影響を受ける設定

  • Virtual SAN Health Checkプラグインは、vCenter Serverの展開時にデフォルトで有効になっています。 このプラグインにおける入力検証の不備が脆弱性の根本原因です。

3. 影響を受けた時の兆候

  • ログファイルを調査することで、システムが侵害されたかどうかを検出できる可能性があります。 (具体的なログの場所は、vCenter Serverのバージョンと展開プラットフォームによって異なります。)
  • 脆弱性の公開後、脆弱なサーバーに対する大規模なスキャン活動が報告されています。
  • この脆弱性を悪用した攻撃が実際に観測されており、実証コード（PoC）も公開されています。

4. 推奨対策

4.1 本対策

  • VMwareが提供するセキュリティパッチを、影響を受けるすべてのvCenter ServerおよびCloud Foundation環境に直ちに適用してください。
  • 以下の修正済みバージョンへのアップグレードが推奨されます。
    • vCenter Server 7.0系: 7.0 U2b
    • vCenter Server 6.7系: 6.7 U3n
    • vCenter Server 6.5系: 6.5 U3p
    • Cloud Foundation 4系: 4.2.1
    • Cloud Foundation 3系: 3.10.2.1
  • パッチは2021年5月25日に公開されています。

4.2 暫定回避策（緩和策）

  • パッチの適用が直ちに不可能な場合、一時的な回避策としてVirtual SAN Health Checkプラグインを無効にしてください。
  • vCenter Serverのポート443へのネットワークアクセスを、許可された管理ネットワークと管理者のみに制限してください。
  • vCenter Serverが信頼できないネットワークに露出することを制限するために、ネットワークセグメンテーションを実装してください。
  • オンプレミス環境の顧客向けには、Imperva Cloud WAFなどで手動の緩和策を講じることも可能です。

他に解説すべき観点

  • この脆弱性はユーザーとの対話を必要とせず、攻撃の複雑度が低いことが特徴です。

参照したサイト

  • CVE-2021-21985: VMware vCenter Server RCE Vulnerability - SentinelOne
  • CVE-2021-21985: Latest Critical vCenter Server Vulnerability | Rapid7 Blog
  • Reports of Active in the Wild Exploitation of VMware vCenter Remote Code Execution Vulnerability - Threat Signal Report | FortiGuard Labs - Fortinet
  • VMware vCenter Serverの複数の脆弱性（CVE-2021-21985 - JPCERT
  • How to exploit the VMware vCenter RCE with Pentest-Tools.com (CVE-2021-21985)
  • CVE-2021-21985 - CVE Record
  • CVE-2021-21985: Critical VMware vCenter Server Remote Code Execution - Blog | Tenable®
  • Manual Mitigation for CVE-2021-21985: VMware vCenter Server Virtual SAN Health Check plugin RCE - Imperva Community
  • VMSA-2021-0010:VMware vCenter Server updates address remote code execution and authentication vulnerabilities - Broadcom support portal
  • CVE-2021-21985 - Vulnerability Found in VMware vCenter Servers and Cloud Foundation
  • CVE-2021-21985: VMware vCenter Server RCE复现-腾讯云开发者社区
  • VMware vCenter存在安全漏洞(CVE-2021-21985~ 21986)，允許攻擊者遠端執行任意程式碼，請儘速確認並進行更新 - 國家資通安全研究院
  • CVE-2021-21985: VMware vCenter Server远程代码执行漏洞通告
  • VMware vCenter Server 远程执行代码漏洞等漏洞的风险提示 - 北京邮电大学信息化技术中心
  • CVE-2021-21985 漏洞复现原创 - CSDN博客
  • VMware vCenter Server远程代码执行漏洞(CVE-2021-21985) 预警- 安全内参
  • [VMware] vCenter Server Appliance にパッチを適用する - MSeeeeN
  • セキュリティに関する公開情報 | Google Cloud VMware Engine
  • VMware ESXiを標的としたランサムウェア攻撃について - JPCERT
  • ESXiArgsランサムウェア攻撃が2年前の脆弱性を悪用しているという衝撃 - Deep Instinct

NVDサイト

NVDでCVEの詳細を見る

戻る