El software vCenter Server desarrollado por VMWare permite a los administradores de sistemas administrar máquinas y hosts virtuales utilizados en entornos de empresa a través de una sola consola. Vulnerabilidad de una gravedad CVSS 9.8 sobre 10. Ya han aparecido varios exploits (pruebas de concepto) públicos, varios checkers, uno para Nmap NSE

Para la gestión de los diferentes hosts y máquinas virtuales, los administradores de sistemas utilizan el software vCenter Client, que es un cliente web (HTML5) que realiza peticiones a la API proporcionada por vCenter Server. Para utilizar el cliente es necesario que los administradores se autentiquen con un usuario válido en el sistema, sin embargo, la vulnerabilidad no requiere autenticación para poder ser explotada.

Tal y como podemos apreciar en el siguiente tweet de PT SWARM, realizando una simple petición HTTP a la API de vCenter es posible explotar la vulnerabilidad, con la que un atacante puede ejecutar comandos del sistema y, en última instancia, ejecutar código malicioso. Además, es posible explotarla sin necesidad de configuraciones especiales, ya que el problema ocurre igualmente en configuraciones por defecto.

Todos los detalles técnicos de la vulnerabilidad disponibles en:

• https://swarm.ptsecurity.com/unauth-rce-vmware/

 CVE-2021-21972

Esta vulnerabilidad ya ha sido reportada (CVE-2021-21972) y reparada por WMWare en la última actualización que han lanzado. Es altamente recomendable actualizar a la última versión de vCenter Server y vCenter Client lo antes posible para asegurarse de que ningún atacante puede acabar explotando dicha vulnerabilidad en sus servidores.

El investigador chino Ricter Z ha publicado un exploit funcional para la vulnerabilidad en VMware ESXi, VMware vCenter Server (vCenter Server y VMware Cloud Foundation (Cloud Foundation) identificada como CVE-2021-21972 (MSA-2021-0002). 

La vulnerabilidad es crítica (9.8 / 10) y la PoC publicada permite ejecución de código remoto (RCE) de forma trivial.

Solución temporal de VMware

El equipo de vCenter ha investigado CVE-2021-21972 y CVE-2021-21973 y ha determinado que la posibilidad de explotación se puede eliminar realizando los pasos detallados en la sección de 'solución alternativa' de este artículo. Esta solución alternativa está destinada a ser una temporal hasta que se puedan implementar las actualizaciones documentadas en VMSA-2021-0002.

Versiones de producto afectadas: v7.0 < 7.0 U1c; 6.7 < 6.7 U3l; 6.5 < 6.5 U3n.

Impacto de la solución

Los impactos de la funcionalidad se limitan a los entornos que utilizan vRealize Operations. Cabe señalar que el extremo vulnerable existe en vCenter Server, independientemente de que vRealize Operations se haya introducido en el entorno o no.

Los nuevos clientes de vRealize Operations no tendrán la provisión / opción para instalar y configurar automáticamente el dispositivo vRealize Operations a través del complemento.

Los clientes que ya hayan configurado un vCenter Adapter en vRealize Operations con vCenter no podrán mostrar los detalles de la métrica y la alerta (widgets de descripción general de VC y vSAN) en el cliente vCenter H5.

Se recomienda instalar la actualización VMSA-2021-0002 de forma inmediata.   

Fuentes:

https://unaaldia.hispasec.com/2021/02/vulnerabilidad-critica-encontrada-en-vcenter-de-vmware.html

https://blog.segu-info.com.ar/2021/02/vulnerabilidad-critica-en-vcenter.html