CVE-2021-21973

SSRF no vSphere Client (HTML5) do VMware vCenter Server, localizado em um plugin exposto por padrão (o plugin do vROPs). Um atacante com acesso de rede à porta 443, sem autenticação, pode forçar o vCenter a fazer requisições a destinos arbitrários e obter disclosure de informação. O CVSS é baixo (5.3) para uma vulnerabilidade sem exigência de credenciais, mas ela está no catálogo KEV da CISA — houve exploração confirmada em campo, geralmente como peça de reconhecimento dentro de cadeias de ataque mais amplas contra vCenter exposto à internet.

CISA classifica a falha como CWE-20 (validação de entrada imprópria) combinada com CWE-918 (SSRF). O ponto vulnerável é o endpoint do plugin vRealize Operations (vROPs) dentro do vSphere Client HTML5. Esse endpoint fica presente e acessível em qualquer instalação padrão de vCenter Server, independentemente de o vROPs estar de fato implantado ou configurado no ambiente — ou seja, a superfície de ataque existe mesmo quando o produto associado ao plugin nunca foi usado.

O mecanismo, segundo o próprio advisory da VMware, é a 'validação inadequada de URLs': o plugin aceita, via requisição POST, um valor de URL controlado pelo atacante e o servidor vCenter realiza essa requisição do lado do servidor, sem restringir adequadamente esquema, host ou faixa de rede de destino. A resposta (ou parte dela) retorna ao atacante, expondo conteúdo de recursos que deveriam estar isolados na rede interna do vCenter.

Essa vulnerabilidade foi reportada junto com CVE-2021-21972 (RCE crítico, CVSSv3 9.8) e CVE-2021-21974 (heap overflow no OpenSLP do ESXi) no mesmo advisory VMSA-2021-0002, e compartilha o mesmo componente afetado (plugin vROPs) e o mesmo workaround (KB82374) que a falha de RCE — o que sugere que ambas residem na mesma superfície de código do plugin, com diferenças de impacto pela forma como cada endpoint trata a entrada.

Pré-requisito real é único e baixo: acesso de rede TCP à porta 443 do vCenter Server. O vetor CVSS (AV:N/AC:L/PR:N/UI:N) confirma que não há exigência de autenticação nem de interação do usuário — qualquer host com rota até a porta 443 do vCenter pode enviar a requisição maliciosa. O atacante envia um POST ao endpoint do plugin vROPs especificando uma URL de destino sob seu controle; o vCenter executa a requisição em nome do atacante e devolve informação da resposta, permitindo reconhecimento de serviços internos, enumeração de portas e potencial extração de dados que só deveriam ser acessíveis pela rede de gerência.

Isoladamente, o impacto é 'apenas' disclosure de informação (C:L, sem impacto em integridade ou disponibilidade), o que explica o CVSS moderado. Na prática, porém, essa SSRF é usada como etapa de reconhecimento ou de bypass dentro de cadeias de exploração que incluem o CVE-2021-21972 (RCE no mesmo plugin), elevando o risco real muito além do que o score sugere isoladamente.

Há exploração ativa confirmada — a CVE está no catálogo KEV da CISA (adicionada em 2022-03-07) — e existem PoC pública e template Nuclei, o que reduziu bastante a barreira técnica para exploração automatizada em massa contra instâncias de vCenter expostas à internet.

A correção definitiva é atualizar para as versões corrigidas: vCenter Server 7.0 U1c, 6.7 U3l ou 6.5 U3n; em VMware Cloud Foundation, 4.2 (ramo 4.x) ou 3.10.1.2 (ramo 3.x). Essas são as versões publicadas pela VMware no VMSA-2021-0002.

Quando a atualização não é imediata, a VMware referencia um workaround documentado na KB82374 (o mesmo usado para o CVE-2021-21972, o RCE crítico associado), que consiste em desabilitar o plugin vROPs vulnerável no vCenter Server — os detalhes exatos do procedimento não constam no texto do advisory disponível aqui, apenas a referência à KB. O custo desse paliativo é perder a integração do vSphere Client com o vROPs enquanto o plugin estiver desabilitado.

Restringir o acesso de rede à porta 443 do vCenter apenas a hosts de gerência confiáveis reduz a exposição, mas não corrige a falha em si — não é mitigação equivalente ao patch ou ao workaround oficial. Também não vale assumir que 'não uso vROPs' proteja o ambiente: o endpoint vulnerável está presente por padrão em toda instalação do vCenter, com ou sem vROPs implantado.

Monitorar logs do vCenter Server (serviço do vsphere-client) por requisições POST ao endpoint do plugin vROPs contendo parâmetros de URL apontando para hosts internos incomuns ou destinos externos — indício direto de tentativa de SSRF. Tráfego de saída originado pelo próprio host do vCenter para destinos não esperados na rede também é sinal forte de exploração em andamento.

Como existem PoC pública e template Nuclei, é comum observar varreduras automatizadas com requisições repetitivas e padronizadas ao mesmo endpoint, partindo de múltiplos IPs — útil como assinatura em WAF ou IDS de perímetro. Não há, nas fontes disponíveis, um indicador de comprometimento (hash, artefato de disco) documentado especificamente para esta CVE; a detecção depende de análise de log e tráfego de rede.