CVE 데이터베이스CVE-2021-21973

최종 갱신 2026-06-17English Advisory →

CVE-2021-219735.3/MEDIUMCISA KEV 등재CWE-918CWE-918

VMware vCenter Server vSphere Client SSRF 취약점 (CVE-2021-21973) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

vcenter_server, cloud_foundation

권고문 발행일

2021-02-24

CVSS v3.1

5.3

MEDIUM

30일 악용확률

88.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware vCenter Server 7.0, 6.7, 6.5 버전 및 VMware Cloud Foundation 4.x, 3.x 버전

파급 효과

인증되지 않은 공격자가 HTTPS(443번 포트) 네트워크 접근을 통해 내부 네트워크 정보 및 민감한 데이터를 탈취할 수 있습니다

권장 조치

벤더사에서 제공하는 공식 패치 버전을 적용하거나, 취약한 플러그인을 비활성화하는 임시 완화 조치를 즉시 수행하십시오

영향받는 제품 및 버전 범위

VMware vCenter Server 7.0 (7.0 U1c 미만), 6.7 (6.7 U3l 미만), 6.5 (6.5 U3n 미만) 및 VMware Cloud Foundation 4.x (4.2 미만), 3.x (3.10.1.2 미만)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 VMware 공식 패치가 적용된 버전으로 업그레이드하는 것입니다. vCenter Server Appliance(VCSA) 환경에서 패치 패키지를 다운로드하고 설치하는 CLI 명령어 예시는 다음과 같습니다.

bash

# vCenter Server Appliance 셸에 접속 후 패치 리포지토리 동기화 및 설치
software-packages install --iso --acceptEulas

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 취약한 플러그인(예: vRealize Operations 플러그인)을 비활성화하거나 vCenter 443 포트에 대한 접근을 신뢰할 수 있는 관리자 IP 대역으로만 제한해야 합니다. 아래는 Linux 방화벽(iptables)을 사용하여 443 포트 접근을 제한하는 예시입니다.

bash

# 기본적으로 443 포트 차단 후 신뢰할 수 있는 IP(예: 192.168.1.100)만 허용
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

vSphere Client 로그 파일에서 비정상적인 외부 URL 요청이나 플러그인 호출 흔적을 점검합니다. 아래 스크립트를 통해 vCenter 버전을 확인하고 로그 내 의심스러운 POST 요청을 탐지할 수 있습니다.

bash

# vCenter Server 버전 확인
cat /etc/vmware/.vami_vcentertags

# vSphere Client 로그에서 취약한 플러그인 관련 POST 요청 및 SSRF 의심 패턴 검색
grep -i 'POST' /var/log/vmware/vsphere-ui/logs/vsphere_client_virgo.log | grep -E 'localhost|127.0.0.1'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

실제 공격에 악용된 이력이 있는 고위험 취약점이므로, 즉시 공식 패치 버전을 적용하거나 방화벽을 통해 vCenter 대외 노출을 차단하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-21973)은 VMware vCenter Server의 HTML5 기반 vSphere Client 내 특정 플러그인에서 발생하는 서버 측 요청 위조(SSRF, Server-Side Request Forgery) 취약점입니다. 플러그인이 외부로부터 전달받은 URL 매개변수를 적절히 검증하지 않고 내부 네트워크 요청에 사용함으로써 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

네트워크 상에서 vCenter Server의 443번 포트에 접근할 수 있는 공격자는 별도의 사용자 인증 없이 특수하게 조작된 HTTP POST 요청을 취약한 플러그인 엔드포인트로 전송할 수 있습니다. vCenter Server는 이 요청을 수신한 후, 내부망 또는 루프백(127.0.0.1) 주소로 임의의 HTTP 요청을 대신 발송하게 됩니다. 이를 통해 공격자는 방화벽 뒤에 보호되어 있는 내부 관리 서비스의 활성화 여부를 스캔하거나, 내부 API를 호출하여 민감한 정보를 유출할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

vCenter Server는 가상화 인프라의 중앙 제어 콘솔이므로, 본 취약점을 통해 내부 네트워크 토폴로지 및 자격 증명 정보가 노출될 경우 2차 침투(Lateral Movement)의 교두보가 될 수 있습니다. 특히 본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인되었으며, EPSS 점수가 0.88 이상으로 매우 높아 즉각적인 조치가 요구됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The vSphere Client (HTML5) contains an SSRF (Server Side Request Forgery) vulnerability due to improper validation of URLs in a vCenter Server plugin. A malicious actor with network access to port 443 may exploit this issue by sending a POST request to vCenter Server plugin leading to information disclosure. This affects: VMware vCenter Server (7.x before 7.0 U1c, 6.7 before 6.7 U3l and 6.5 before 6.5 U3n) and VMware Cloud Foundation (4.x before 4.2 and 3.x before 3.10.1.2).

https://www.vmware.com/security/advisories/VMSA-2021-0002.html

출처: security@vmware.com · Vendor Advisory

https://www.vmware.com/security/advisories/VMSA-2021-0002.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21973

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-21973)

FAQ

Q1. CVE-2021-21973 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-21973의 기본 점수는 CVSS 5.3 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 88.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-21973에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 vcenter_server, cloud_foundation입니다. 상세 영향 범위: VMware vCenter Server 7.0 (7.0 U1c 미만), 6.7 (6.7 U3l 미만), 6.5 (6.5 U3n 미만) 및 VMware Cloud Foundation 4.x (4.2 미만), 3.x (3.10.1.2 미만)