CVE-2021-21972

Falha de execução remota de código no vCenter Server, explorável por um plugin do vSphere Client (HTML5) que aceita upload de arquivo sem autenticação adequada e sem restringir o caminho de destino. Qualquer atacante com acesso de rede à porta 443 do vCenter consegue executar comandos com privilégios irrestritos no sistema operacional subjacente — sem precisar de credenciais. Está confirmada em exploração ativa (KEV da CISA) e tem exploit público, o que a torna prioridade máxima em qualquer ambiente vSphere exposto.

A CISA classifica a falha como CWE-23 (Relative Path Traversal). O mecanismo, segundo os títulos dos advisories técnicos publicados (PacketStorm/pesquisadores), é upload arbitrário de arquivo: um plugin específico do vSphere Client expõe um endpoint HTTP que aceita arquivos enviados pelo cliente e os grava no sistema de arquivos do servidor sem validar corretamente o caminho/destino informado. Isso permite que um atacante escreva um arquivo (por exemplo, um webshell) fora do diretório esperado, em local acessível via web, alcançando execução de código no contexto do processo do vCenter.

O vetor é de rede: basta ter acesso TCP à porta 443 do vCenter Server, sem necessidade de autenticação prévia (PR:N, UI:N no vetor CVSS confirma isso), o que explica o CVSS 9.8. Não há pré-condição de configuração não padrão conhecida — a exposição do vCenter na porta 443, algo comum em ambientes de virtualização corporativos e, criticamente, em instalações acessíveis pela internet ou por segmentos de rede pouco segmentados, é suficiente. Existe módulo Metasploit, template Nuclei e PoC pública, o que baixou a barreira técnica para exploração massiva — daí o EPSS próximo de 1.0. A CISA incluiu a CVE no catálogo KEV (adicionada em 03/11/2021, com prazo de correção até 17/11/2021), confirmando exploração ativa no mundo real; não há indicação no catálogo de uso associado a campanhas de ransomware especificamente.

A correção definitiva é atualizar para as versões corrigidas pela VMware: vCenter Server 7.0 U1c ou posterior, 6.7 U3l ou posterior, e 6.5 U3n ou posterior; para VMware Cloud Foundation, atualizar para 4.2 ou posterior (ramo 4.x) e 3.10.1.2 ou posterior (ramo 3.x). O advisory oficial é o VMSA-2021-0002.

Quando a atualização imediata não é viável, a própria VMware publicou um workaround (desabilitar o plugin vulnerável via script/comando documentado no VMSA) que reduz a superfície de ataque sem remover a funcionalidade do restante do vCenter — mas isso deve ser tratado como paliativo temporário, não substituto do patch, pois pode desativar recursos que dependem do plugin. Restringir o acesso à porta 443 do vCenter apenas a redes de gerência confiáveis (via firewall/ACL) reduz a exposição, mas não elimina o risco de um atacante já dentro da rede interna — cenário comum em movimentação lateral. Não confiar apenas em WAF genérico como mitigação suficiente: a falha está na lógica de manipulação de caminho de arquivo do próprio plugin, e regras de WAF para path traversal têm alta taxa de bypass nesse tipo de vulnerabilidade.

Sinal principal a procurar em logs de acesso do vCenter (HTTP na porta 443): requisições de upload direcionadas ao endpoint do plugin vulnerável contendo sequências de path traversal (padrões como '../' codificados) no parâmetro de nome/destino do arquivo, seguidas da criação de arquivos inesperados (webshells) em diretórios web-acessíveis do vCenter. A existência de módulo Metasploit e template Nuclei públicos significa que scanners automatizados provavelmente já testaram esse endpoint contra qualquer vCenter exposto à internet desde 2021; ausência de log específico não garante que não houve tentativa, já que muitos ambientes não retêm logs de aplicação do vCenter por tempo suficiente ou não os correlacionam.