Trusted Design

CVE-2021-22005 の詳細

CVEの情報

説明:
The vCenter Server contains an arbitrary file upload vulnerability in the Analytics service. A malicious actor with network access to port 443 on vCenter Server may exploit this issue to execute code on vCenter Server by uploading a specially crafted file.

CVE更新日: 2021-09-23 12:15:07.707000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-22005について以下の観点で解説します。

1. 脆弱性の概要

VMware vCenter ServerのAnalyticsサービスに存在する、認証不要の任意のファイルアップロードの脆弱性です。攻撃者はvCenter Serverのポート443へのネットワークアクセスがあれば、特別に細工されたファイルをアップロードすることで、vCenter Server上で任意のコードを実行する可能性があります。この脆弱性は、攻撃の複雑性が低く、ユーザーとの対話も不要です。

1.1 影響

この脆弱性が悪用されると、リモートからのコード実行（RCE）が可能となり、攻撃者がvCenter Serverを完全に制御できるようになります。この脆弱性はCISAの既知の悪用された脆弱性（KEV）カタログに掲載されており、実際に悪用が確認されています。

1.2 深刻度

VMwareはこの脆弱性を「Critical（緊急）」と評価しており、共通脆弱性評価システムCVSSv3の基本スコアは「9.8」です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のVMware vCenter ServerおよびVMware Cloud Foundationのバージョンが影響を受けます。

  • VMware vCenter Server 7.0: 7.0 U2cより前のバージョン
  • VMware vCenter Server 6.7: 6.7 U3oより前のバージョン
  • VMware Cloud Foundation:
    • 4.x: KB85718 (4.3)より前のバージョン
    • 3.x: KB85719 (3.10.2.2)より前のバージョン

注記: vCenter Server 6.5のすべてのバージョンは、CVE-2021-22005の影響を受けません。

2.2 影響を受ける設定

vCenter Serverのポート443へのネットワークアクセスが可能な環境が影響を受けます。 一部の情報源では、Customer Experience Improvement Program (CEIP)が有効になっていることが悪用の前提条件または悪用を容易にするとされていますが、他の情報源では設定に関わらず悪用可能であると述べられています。

3. 影響を受けた時の兆候

この脆弱性に関する具体的なIoC（Indicators of Compromise）は広く公開されていませんが、以下の兆候が考えられます。

  • vCenter Server上で予期しないファイルやプロセスの存在。特に/analytics/telemetry/ph/api/hyper/sendパスや関連するログディレクトリに不審なファイルがアップロードされている。
  • vCenter Serverから外部への不審なネットワーク接続。
  • 脆弱なvCenter Serverに対する大規模なスキャン行為や、公開されているエクスプロイトコードの利用形跡。

4. 推奨対策

4.1 本対策

VMware vCenter Serverを、この脆弱性に対応したバージョンにアップグレードしてください。

  • vCenter Server 7.0の場合は、7.0 U2c以降へアップグレード。
  • vCenter Server 6.7の場合は、6.7 U3o以降へアップグレード。
  • VMware Cloud Foundationについては、VMwareのセキュリティアドバイザリVMSA-2021-0020.1に記載されている修正バージョン、またはVMware KB85718（4.xの場合）およびKB85719（3.xの場合）を参照してください。

詳細なパッチ情報については、VMware Security Advisory VMSA-2021-0020.1 を参照してください。

4.2 暫定回避策（緩和策）

直ちにアップグレードが困難な場合、VMwareが提供する以下の暫定回避策を適用することを検討してください。

  • VMware KB85717に記載されている回避策を適用します。これは通常、脆弱性を緩和するためのスクリプトの適用または設定変更を伴います。
  • vCenter Serverへのネットワークアクセス、特にポート443へのアクセスを、信頼できる管理ネットワークのみに制限するためのネットワークセグメンテーションを実施します。
  • ネットワークセグメンテーションが不可能な場合は、vCenter Serverの組み込みファイアウォールを活用します。

5. 他に解説すべき観点

  • PoCの公開と活発な悪用: この脆弱性に対しては、公開されているProof-of-Concept（PoC）エクスプロイトコードが存在し、実際に広範囲での悪用が確認されています。 このため、迅速な対策が強く推奨されます。
  • VMSA-2021-0020: CVE-2021-22005は、VMwareがvCenter Serverで対処した19件の脆弱性を含む大規模なセキュリティアドバイザリVMSA-2021-0020の一部として公開されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る