VMware vCenter Server and Cloud Foundation のSSRFの脆弱性（CVE-2021-21973）

何が起きた

VMware vCenter Server の vSphere Client（HTML5）で、プラグインが URL を正しく確かめない弱点（SSRF）が見つかり、実際に悪用が確認されています。443 番ポートに届く場所にいる攻撃者が、プラグインに POST の要求を送ると、情報が漏れるおそれがあります。NVD の評価では、ログインも利用者の操作も不要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

vCenter Server の 7.x で 7.0 U1c より前、6.7 で 6.7 U3l より前、6.5 で 6.5 U3n より前を使っている組織が影響を受けます。VMware Cloud Foundation の 4.x で 4.2 より前、3.x で 3.10.1.2 より前も対象です。VMware によると、問題のプラグイン（vROPs 用）は、すべての標準の導入で入っています。

何をすればいい

vCenter Server は 7.0 U1c、6.7 U3l、6.5 U3n 以降に、Cloud Foundation は 4.2、3.10.1.2 以降に更新されているか確認してください。すぐに更新できない場合は、VMware の回避策の記事 KB82374 に従ってプラグインを無効にする方法があります。あわせて、公式の案内（VMSA-2021-0002）を確認してください。

やることチェックリスト

• vCenterを7.0 U1cなどの修正版に更新する
• Cloud Foundationを4.2などの修正版に更新する
• 更新できなければKB82374でプラグインを無効化する

用語メモ

SSRF

攻撃者がサーバーをだまして、ふつうは届かない内部の宛先などへ要求を送らせる攻撃のことです。

vCenter Server

たくさんの仮想マシンやサーバーを、まとめて管理するための VMware のソフトです。

プラグイン

ソフトに後から機能を付け足すための部品のことです。