NVD / CVE Program· CNA vmware

CVE-2021-21973: The vSphere Client (HTML5) contains an SSRF (Server Side Request Forgery) vulnerability due to improper validation of URLs in a vCenter…

СредняяCVSS 5.3 · v3.1KEVГотовый эксплойт Исправление не зафиксировано

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 77/100)

CISA подтвердило эксплуатацию в реальных атаках (7 мар. 2022 г.). Срок устранения для федеральных ведомств США: 21 мар. 2022 г.
Опубликован готовый модуль атаки (Nuclei); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 88% (FIRST EPSS); выше, чем у 99,7% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Согласно записи, исправленной версии пока нет.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 2.

Не ждите следующего окна обслуживания. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

The vSphere Client (HTML5) contains an SSRF (Server Side Request Forgery) vulnerability due to improper validation of URLs in a vCenter Server plugin. A malicious actor with network access to port 443 may exploit this issue by sending a POST request to vCenter Server plugin leading to information disclosure. This affects: VMware vCenter Server (7.x before 7.0 U1c, 6.7 before 6.7 U3l and 6.5 before 6.5 U3n) and VMware Cloud Foundation (4.x before 4.2 and 3.x before 3.10.1.2).

BDU:2021-00989

Опубликовано: 24 февр. 2021 г.
Обновлено: 16 июн. 2026 г.
EPSS: 88,0 % · 99-й процентиль
CWE: CWE-918

Инструменты для отчёта

JSON

Оценка срочности

На этой неделе

Не ждите следующего окна обслуживания.

CVSS: 21 / 40 · 5.3 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 26 / 30 · 88,0 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 7 мар. 2022 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 21 мар. 2022 г..

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
vmware	cloud foundation	cpe:2.3:a:vmware:cloud_foundation
vmware	vcenter server	cpe:2.3:a:vmware:vcenter_server

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (vmware). Не зависят от анализа CPE в NVD и обычно опережают его.

n/a VMware Cloud Foundation
- 4.x before 4.2, 3.x before 3.10.1.2затронута
n/a VMware vCenter Server
- 7.x before 7.0 U1c, 6.7 before 6.7 U3l, 6.5 before 6.5 U3nзатронута

Затронутые версии · NVD (5)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

vmware cloud foundation3.0 и новее · до 3.10.1.2
vmware cloud foundation4.0 и новее · до 4.2
vmware vcenter server6.5
vmware vcenter server6.7
vmware vcenter server7.0

Тот же продукт

vmware: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-22005The vCenter Server contains an arbitrary file upload vulnerability in the Analytics service.KEV
99Срочно
CVE-2021-21972The vSphere Client (HTML5) contains a remote code execution vulnerability in a vCenter Server plugin.KEV
99Срочно
CVE-2020-3992OpenSLP as used in VMware ESXi (7.0 before ESXi_7.0.1-0.0.16850804, 6.7 before ESXi670-202010401-SG, 6.5 before ESXi650-202010401-SG) has a…KEV
94Срочно

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2020-399420 окт. 2020 г. · VMware vCenter Server (6.7 before 6.7u3, 6.6 before 6.5u3k) contains a session hijack vulnerability in the vCenter Server Appliance…
29Наблюдать
← РаньшеCVE-2020-400520 нояб. 2020 г. · VMware ESXi (7.0 before ESXi70U1b-17168206, 6.7 before ESXi670-202011101-SG, 6.5 before ESXi650-202011301-SG) contains a…
31Наблюдать
Позже →CVE-2021-2197424 февр. 2021 г. · OpenSLP as used in ESXi (7.0 before ESXi70U1c-17325551, 6.7 before ESXi670-202102401-SG, 6.5 before ESXi650-202102101-SG) has a…
49В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2021-21973	—
Репозиторий PoC на GitHub	stars:1	2021-03-16

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация24 февр. 2021 г.
Первый PoC16 мар. 2021 г.+19 дн.
CISA KEV7 мар. 2022 г.+375 дн.
Сегодня14 нояб. 2026 г.+2088 дн.

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-21-0246 · 18 мар. 2021 г.(VMware Güvenlik Bildirimi)
TR-21-0173 · 25 февр. 2021 г.(VMware Güvenlik Güncellemesi Yayınladı)

Все национальные уведомления →

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.