SecBoard
Zurück zur CVE-Übersicht

CVE-2021-22054

HIGH(7.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Risk Signal Score79/100 — KRITISCH
  • CVSS 7.5 — Hoch
  • EPSS 100% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

99.7%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.5

Technische Schwere

SecBoard-Einordnung

CVE-2021-22054 betrifft die VMware Workspace ONE UEM Console und ist eine ()-Schwachstelle. Diese ermöglicht es einem Angreifer mit Netzwerkzugriff auf UEM, unauthentifizierte Anfragen zu senden. Die Hauptauswirkung ist der potenzielle Zugriff auf sensible Informationen. Betroffen sind die Versionen 20.0.8 vor 20.0.8.37, 20.11.0 vor 20.11.0.40, 21.2.0 vor 21.2.0.27 und 21.5.0 vor 21.5.0.37. Die Schwachstelle wird aktiv ausgenutzt, wie die Aufnahme in den KEV-Katalog bestätigt. Ihre Kritikalität wird durch einen CVSS-Score von 7.5 (HIGH) und einen EPSS-Wert von 100% unterstrichen, was auf eine extrem hohe Exploit-Wahrscheinlichkeit hinweist. Dies macht sie zu einer dringenden Bedrohung für betroffene Systeme. Security-Teams sollten umgehend alle betroffenen VMware Workspace ONE UEM Console-Instanzen auf die genannten gepatchten Versionen aktualisieren. Aufgrund der aktiven Ausnutzung und der hohen Exploit-Wahrscheinlichkeit ist eine schnelle Reaktion zur Minderung des Risikos unerlässlich. Eine Überwachung auf ungewöhnliche Aktivitäten ist ebenfalls ratsam.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

VMware Workspace ONE UEM console 20.0.8 prior to 20.0.8.37, 20.11.0 prior to 20.11.0.40, 21.2.0 prior to 21.2.0.27, and 21.5.0 prior to 21.5.0.37 contain an SSRF vulnerability. This issue may allow a malicious actor with network access to UEM to send their requests without authentication and to gain access to sensitive information.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). CISA hat diese Schwachstelle in ihrem Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgeführt. GreyNoise beobachtete am 9. März einen koordinierten Anstieg der SSRF-Ausnutzung, der mehrere weit verbreitete Plattformen betraf. Mindestens 400 IPs wurden dabei beobachtet, wie sie gleichzeitig mehrere SSRF-CVEs aktiv ausnutzten. Israel verzeichnete bereits im Jan

Behobene Versionen

  • 20.0.8.37
  • 20.11.0.40
  • 21.2.0.27
  • 21.5.0.37

Threat-Hunting-Queries

Überwachung auf unerwartete ausgehende Anfragen, die auf SSRF-Ausnutzung hindeuten könnten.

Sentinel/Defender KQL

DeviceNetworkEvents
| where InitiatingProcessFileName contains "uem" or InitiatingProcessCommandLine contains "uem"
| where RemoteIP !in ("10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16") // Filter private IPs
| where RemotePort in (80, 443) // Typically web traffic
| summarize count() by DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort
| where count_ > 5 // Adjust threshold as needed for your environment
| project DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort, count_

Splunk SPL

index=* (sourcetype="vmware:uem" OR sourcetype="syslog")
| regex _raw="(uem|workspaceone).*((http|https)://[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}|(http|https)://[a-zA-Z0-9\.-]+\.[a-zA-Z]{2,6})"
| search NOT (dest_ip=10.* OR dest_ip=172.16.* OR dest_ip=192.168.*)
| stats count by host, _raw
| where count > 5

Sigma

title: VMware Workspace ONE UEM SSRF Outbound Connection
id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
status: experimental
description: Detects suspicious outbound connections from VMware Workspace ONE UEM console, potentially indicating SSRF exploitation.
author: SecBoard
date: 2024/07/30
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2021-22054
logsource:
  category: network_connection
  product: windows
detection:
  selection:
    Image|endswith: 
      - '\uem.exe'
      - '\WorkspaceONEUEM.exe'
    Initiated: 'true'
    DestinationIp|!startswith:
      - '10.'
      - '172.16.'
      - '172.17.'
      - '172.18.'
      - '172.19.'
      - '172.20.'
      - '172.21.'
      - '172.22.'
      - '172.23.'
      - '172.24.'
      - '172.25.'
      - '172.26.'
      - '172.27.'
      - '172.28.'
      - '172.29.'
      - '172.30.'
      - '172.31.'
      - '192.168.'
    DestinationPort:
      - 80
      - 443
  condition: selection
level: high

Elastic ES|QL

from network where process.executable.name : ("uem.exe", "WorkspaceONEUEM.exe") and network.direction : "outbound" and not cidr_match("10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16", network.remote.ip) and network.remote.port in (80, 443) | stats count() by host.name, process.executable.name, network.remote.ip, network.remote.port | where count > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:vmware:workspace_one_uem_console:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:workspace_one_uem_console:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:workspace_one_uem_console:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:workspace_one_uem_console:*:*:*:*:*:*:*:*

Referenzen