CVE-2021-21975

SSRF na API do vRealize Operations Manager (vROps) permite que um atacante com acesso de rede à API, sem autenticação, force o servidor a fazer requisições arbitrárias e capture credenciais administrativas expostas nesse processo. A falha está no catálogo KEV da CISA com exploração confirmada, e é amplamente usada em conjunto com uma segunda falha (arbitrary file write, CVE-2021-21983) para alcançar execução remota de código — o impacto real costuma ser maior do que o CVSS isolado de 7.5 sugere.

A causa raiz é uma falha de Server-Side Request Forgery (CWE-918) na API do vROps: um endpoint aceita um parâmetro controlado pelo cliente que define o destino de uma requisição feita pelo próprio servidor, sem validação adequada. O atacante não precisa de credenciais — o pré-requisito é apenas acesso de rede à API (AV:N, PR:N, UI:N no CVSS oficial), o que em muitos ambientes corporativos significa qualquer host na mesma VLAN ou, em deploys expostos, a internet.

O efeito prático é que o servidor vROps pode ser induzido a fazer chamadas internas — inclusive para componentes de autenticação/token do próprio produto — e o atacante consegue extrair credenciais administrativas a partir da resposta dessas requisições forjadas. A VMware classificou a falha original como 'Important', com CVSSv3 variando de 7.2 a 8.6 dependendo da versão.

Um detalhe crítico documentado pela própria VMware no changelog do VMSA-2021-0004: os hotfixes lançados inicialmente para as versões 7.5.0 até 8.3.0 corrigiram a falha, mas a versão 8.4.0 shipou com uma correção incompleta, deixando um risco residual moderado (CVSS 4.3) que só foi eliminado por hotfixes posteriores vinculadas ao advisory VMSA-2021-0018. Isso significa que 'estar na 8.4.0' não é garantia de estar protegido — depende de qual hotfix foi aplicada depois.

O vetor é rede direta contra a API do vROps, sem autenticação prévia — complexidade baixa (AC:L) e sem interação do usuário. O atacante envia uma requisição manipulada que faz o vROps atuar como proxy involuntário, e a resposta expõe material de autenticação (credenciais/token administrativo) que normalmente ficaria isolado no backend.

Na prática, exploits públicos e o módulo Metasploit associado não param no roubo de credenciais: eles encadeiam o CVE-2021-21975 com o CVE-2021-21983 (gravação arbitrária de arquivo na API do vROps, que exige autenticação). O SSRF fornece o token administrativo necessário para autenticar; o segundo bug então grava um arquivo (webshell) no sistema operacional Photon subjacente, resultando em execução remota de código — daí o título 'Server Side Request Forgery / Code Execution' associado ao exploit divulgado. Essa cadeia é o motivo do CVE estar no KEV da CISA com exploração confirmada in-the-wild desde antes de janeiro de 2022, quando foi adicionado ao catálogo.

Existem PoC pública e template Nuclei, o que baixa a barreira de reprodução para qualquer atacante com acesso de rede ao endpoint da API — não é necessário conhecimento privilegiado do ambiente, apenas achar a instância exposta.

A correção definitiva é aplicar a hotfix correspondente à versão instalada, listada pela VMware: 7.5.0 (KB85378), 8.0.0/8.0.1 (KB85379), 8.1.0/8.1.1 (KB85380), 8.2.0 (KB85381), 8.3.0 (KB85382) e 8.4.0 (KB85383, corrigindo o risco residual deixado pela correção incompleta original). A partir da 8.5.0 o produto não é afetado. Para VMware Cloud Foundation (vROps 3.x/4.x) e vRealize Suite Lifecycle Manager, a hotfix é a KB83260. Para as versões 6.7.0 e 7.0.0, a VMware não planejou patch — o único caminho é aplicar o workaround listado (KB83287) ou migrar para uma versão suportada.

Se não for possível aplicar hotfix imediatamente, a VMware publicou workarounds específicos por versão (KB82367 até KB83287, listados na tabela do advisory) — vale a leitura da KB correspondente à build exata, já que o workaround varia entre versões e não há um procedimento único genérico. Restringir o acesso de rede à API do vROps (segmentação, firewall, ACL) reduz a superfície mas não elimina a falha: qualquer host com acesso à API ainda consegue explorar.

Atualizar apenas para a 8.4.0 sem aplicar a hotfix subsequente NÃO resolve completamente — essa versão manteve risco residual moderado até a correção definitiva ligada ao VMSA-2021-0018. Assumir que 'estar em 8.4+' é suficiente é o erro mais comum ao avaliar exposição a este CVE.

Não há indicador de comprometimento específico publicado pela VMware no advisório. Como sinal genérico, procurar por requisições atípicas na API do vROps que incluam parâmetros de URL/host controláveis apontando para endereços externos ou para endpoints internos de autenticação/metadata, seguidas de atividade de login administrativo sem correspondência de origem esperada. Em ambientes com o Metasploit ou Nuclei template disponíveis publicamente, escaneamentos automatizados contra a porta/API do vROps também são um sinal de reconhecimento ativo — vale monitorar logs de acesso à API por padrões de requisição repetitivos vindos de um único host externo à rede de gerência.