KritischCVE-2021-21985

    VMware vCenter Server and VMware Cloud Foundation: unzureichende Eingabevalidierung (CVE-2021-21985)

    Veröffentlicht In CISA KEV seit Quellen: CVE.org

    Was ist betroffen, was ist zu tun

    Dieses Sicherheitsleck ermöglicht die Remote-Code-Ausführung (RCE) durch unzureichende Eingabeverifikation im Virtual SAN Health Check-Plug-in von VMware vCenter Server. Angreifer können über Port 443 Befehle mit uneingeschränkten Rechten auf dem Betriebssystem ausführen, das vCenter Server hostet. Die Schwachstelle wird aktiv in Ransomware-Kampagnen ausgenutzt und ist seit November 2021 im CISA KEV-Katalog gelistet. Betroffen sind alle Versionen von VMware vCenter Server. Ein sofortiger Patch auf die neueste Version ist dringend erforderlich, um die Sicherheitslücke zu schließen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie cloud_foundation auf Version 3.10.2.1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • VMware vCenter Server and VMware Cloud Foundation eq VMware vCenter Server (7.x before 7.0 U2b, 6.7 before 6.7 U3n, 6.5 before 6.5 U3p) and VMware Cloud Foundation (4.x before 4.2.1..VMware vCenter Server (7.x before 7.0 U2b, 6.7 before 6.7 U3n, 6.5 before 6.5 U3p) and VMware Cloud Foundation (4.x before 4.2.1

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    9,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    9,8

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: CVE.org

    —

    EPSS-Score

    Für diese Schwachstelle liegt kein Wert vor.

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    253.98 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: ANSSI / CERT-FR So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,8
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,99
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Dieser CVE ist auf der KEV-Liste, weil er unauthentifiziert über das Netzwerk ausnutzbar ist (TCP/443, kein User-Interaktion, keine Credentials) und direkt Code-Ausführung mit Root-Rechten auf der vCenter-Appliance liefert — damit kontrolliert ein Angreifer den gesamten Virtualisierungs-Stack samt aller ESXi-Hosts. CISA markiert die Schwachstelle als in Ransomware-Kampagnen genutzt; Betreiber-Erfahrung zeigt Massen-Scans gegen Port 443 und Payload-Delivery innert Stunden nach Exposure. Für KRITIS- und NIS2-pflichtige Organisationen mit vCenter im Management-Netz ist dies maximal zu priorisieren — gleichwertig mit perimeterexponierten Edge-Appliances, insbesondere wenn vCenter auch nur zeitweise aus User- oder Partner-Netzen erreichbar ist. Risiko-Downgrade nur bei vollständiger Mikrosegmentierung des Management-VLAN und bestätigtem Patch-Stand gemäss VMSA-2021-0010.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • vCenter Server umgehend auf eine durch VMware im Advisory VMSA-2021-0010 gelistete gepatchte Version anheben (vCenter 6.5 U3p, 6.7 U3n, 7.0 U2b bzw. höher — exakte Build-Nummern aus dem Vendor-Advisory ziehen). Für VMware Cloud Foundation den zugehörigen BOM-Patch im VMSA-2021-0010 heranziehen.
      • Falls ein Patch-Fenster nicht innerhalb 24 h möglich ist: Workaround aus VMware KB 83829 anwenden und das Virtual SAN Health Check Plug-in sowie weitere im Advisory genannten Plug-ins über die compatibility-matrix.xml deaktivieren (vSphere Client-Service neu starten).
      • Netzwerkzugriff auf TCP/443 der vCenter-Appliance strikt auf dedizierte Admin-Jump-Hosts / PAW-Workstations einschränken; jeglichen Zugriff aus User-VLANs, OT-Netzen und dem Internet per Firewall-ACL blocken.
      • vCenter-Appliance (vcsa) als potenziell kompromittiert behandeln, wenn sie vor dem Patch aus unvertrauenswürdigen Netzen erreichbar war: forensische Snapshots der vcsa und VMDKs sichern, /var/log/vmware/, /storage/log/vmware/ und audit.log ziehen.
      • Credentials rotieren: SSO-Administrator (administrator@vsphere.local), lokale root-Passwörter der vcsa, Service-Accounts in angebundenen AD/LDAP sowie API-Tokens; Session-Cookies im vSphere Client invalidieren.
      • Change-Freeze für ESXi-Hosts und Datastores verhängen, bis Integritätsprüfung abgeschlossen ist, um laterale Bewegung über vpxd/esxcli zu erkennen.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzwerksegmentierung: Management-Netz (vMotion, vSAN, vCenter-Management) in dediziertes Management-VLAN mit stateful Firewall; Ingress auf TCP/443, 5480, 22 nur von Jump-Hosts.
      • WAF/Reverse-Proxy vor vCenter: Requests auf /ui/h5-vsan/*, /ui/vropspluginui/* und andere im Advisory genannten Plug-in-Pfade blockieren, solange die Appliance ungepatcht ist.
      • IPS/IDS: Suricata/Snort-Signatur auf POST-Requests gegen /ui/h5-vsan/rest/* mit auffälligen Java-Deserialisierungs-Payloads bzw. ungewöhnlich grossem Body (> 10 KB) aktivieren; verfügbare ET-Open-SIDs für CVE-2021-21985 einspielen.
      • Endpoint-Härtung der vcsa: appliancesh-Zugriff auf benannte Admin-Accounts beschränken, SSH nur bei Bedarf aktivieren, shell-Access protokollieren; Dateiintegritätsmonitoring auf /usr/lib/vmware-vsphere-ui/server/work/ und /tmp/.
      • IAM: SSO-Policy auf MFA via externen Identity Provider (z. B. ADFS, Azure AD) umstellen; Kein Shared administrator@vsphere.local für Automatisierung — API-Service-Accounts mit minimalen Rollen.
      • Konfiguration: Nicht benötigte Plug-ins (vROps, vSAN Health falls nicht genutzt) dauerhaft deaktivieren; vsphere-ui-Dienst nach Konfigänderung neu starten und Status mit service-control --status prüfen.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Webzugriff-Logs der vcsa (/storage/log/vmware/vsphere-ui/logs/access.log): HTTP-POST auf URIs mit Substring /h5-vsan/ oder /vsan-health/ von externen Quell-IPs — Sigma-Shape: selection: cs-method: POST AND cs-uri-stem|contains: '/h5-vsan/'.
      • Prozess-Ancestry auf der vcsa (auditd / EDR): vsphere-ui-Java-Prozess als Parent von /bin/bash, /bin/sh, curl, wget, python, nc — klassisches RCE-Spawning. KQL-Shape: DeviceProcessEvents | where InitiatingProcessFileName == "java" and InitiatingProcessCommandLine contains "vsphere-ui" and FileName in ("bash","sh","curl","wget","nc").
      • Dateisystem: neue Files unter /tmp/, /var/tmp/ oder /usr/lib/vmware-vsphere-ui/server/work/ mit Zeitstempel nach letztem Boot und Owner vsphere-ui; auditd-Watch auf -w /tmp/ -p wa -k vcsa_rce.
      • Netzwerktelemetrie (Zeek/Suricata): ausgehende Verbindungen der vcsa-IP zu Nicht-VMware-Zielen auf TCP/80, 443, 4444, 1337 — Baseline der vcsa kennt nur Repos von VMware, NTP, DNS und AD.
      • Audit-Events: vmware-sts-idmd.log auf fehlgeschlagene und erfolgreiche SSO-Logins unmittelbar vor/nach POST-Requests auf Plug-in-URIs korrelieren; Alert auf neu angelegte SSO-Accounts oder Rollenänderungen.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Der vSphere Client (HTML5) enthält eine Schwachstelle zur entfernten Codeausführung aufgrund fehlender Eingabevalidierung im Virtual SAN Health Check-Plug-in, das standardmäßig in vCenter Server aktiviert ist. Ein böswilliger Akteur mit Netzwerkzugriff auf Port 443 kann diese Schwachstelle ausnutzen, um Befehle mit uneingeschränkten Rechten auf dem Betriebssystem auszuführen, das vCenter Server hostet.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: CISA KEV Catalog, cvelistv5, NVD (NIST)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    —VMware vCenter Server and VMware Cloud Foundation
    • VMware vCenter Server (7.x before 7.0 U2b, 6.7 before 6.7 U3n, 6.5 before 6.5 U3p) and VMware Cloud Foundation (4.x before 4.2.1
    • —
    vmwarecloud_foundation
    • 3.0 – < 3.10.2.1
    • 4.0 – < 4.2.1
    • 3.10.2.1
    • 4.2.1
    vmwarevcenter_server
    • 6.7
    • 7.0
    • 6.5
    • —
    • —
    • —

    Hersteller und Produkte

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    ANSSI / CERT-FRLicence Ouverte 2.0, Stand CERTFR-2021-ALE-011 – Vulnérabilité dans VMware vCenter Server (clôturée 2021-10-19) (öffnet in neuem Tab)cert.cyber.gouv.fraktiv ausgenutzt
    Packet StormVMware Security Advisory 2021 0010 (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormVMware vCenter Server Virtual SAN Health Check Remote Code Execution (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—

    Quellen & Referenzen

    • vmware.comsecurity/advisories/VMSA-2021-0010.htmlx_refsource_MISC
    • packetstormsecurity.comfiles/162812/VMware-Security-Advisory-2021-0010.htmlx_refsource_MISC
    • packetstormsecurity.comfiles/163487/VMware-vCenter-Server-Virtual-SAN-Health-Check-Rem…x_refsource_MISC
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21985government-resource
    • cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2021-ALE-011 – Vulnérabilité dans VMware vCenter Server (clôturée 2021-10-19)cert-fr
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2021-21985
    <a href="https://intel.neosec.eu/cve/CVE-2021-21985"><img src="https://intel.neosec.eu/badge/cve/CVE-2021-21985.svg" alt="CVE-2021-21985 – NEOSEC Intel" height="20"></a>