CVE 데이터베이스CVE-2021-22005

최종 갱신 2026-06-17English Advisory →

CVE-2021-220059.8/CRITICALCISA KEV 등재CWE-22CWE-22

VMware vCenter Server Analytics 서비스 임의 파일 업로드 및 원격 코드 실행 취약점 (CVE-2021-22005) 긴급 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

vcenter_server

권고문 발행일

2021-09-23

CVSS v3.1

9.8

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware vCenter Server 6.7 및 7.0 버전의 Analytics(CEIP) 서비스

파급 효과

인증되지 않은 공격자가 443/TCP 포트 네트워크 접근만으로 임의 파일을 업로드하여 대상 서버에서 시스템 권한으로 원격 코드(RCE)를 실행할 수 있습니다

권장 조치

제조사 공식 패치를 즉시 적용하거나, 패치 적용 전까지 Analytics 서비스를 비활성화하는 임시 완화 조치를 수행하십시오

영향받는 제품 및 버전 범위

VMware vCenter Server 7.0 (7.0 U2c 미만 버전) 및 vCenter Server 6.7 (6.7 U3o 미만 버전)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 VMware 공식 패치를 적용하는 것입니다. vCenter Server Appliance(VCSA) 관리 콘솔 또는 SSH를 통해 최신 안전 버전으로 업데이트하십시오.

bash

# vCenter Server Appliance 패치 적용 및 서비스 재시작
software-packages install --iso --acceptEulas
service-control --start --all

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 취약한 Analytics 서비스로의 요청을 차단하는 임시 완화 스크립트를 실행하십시오.

bash

# vCenter Appliance Shell에서 Analytics 서비스 엔드포인트 차단 설정
# (VMware 공식 임시 완화 조치 적용)
python -c "
with open('/etc/vmware-rhttpproxy/endpoints.conf.d/vpxd-telemetry-endpoint.conf', 'r') as f:
    data = f.read()
data = data.replace('/analytics/telemetry/ph', '#/analytics/telemetry/ph')
with open('/etc/vmware-rhttpproxy/endpoints.conf.d/vpxd-telemetry-endpoint.conf', 'w') as f:
    f.write(data)
"

# rhttpproxy 서비스 재시작을 통한 설정 반영
service-control --restart vmware-rhttpproxy

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Analytics 서비스 로그에서 비정상적인 파일 업로드 시도 및 경로 탐색 공격 흔적을 점검합니다.

bash

# Analytics 로그에서 비정상적인 HTTP POST 요청 및 파일 생성 흔적 검색
grep -i 'hyper/send' /var/log/vmware/analytics/analytics.log

# /storage/db/analytics/ 디렉터리 내 비정상적인 스크립트 파일 존재 여부 확인
find /storage/db/analytics/ -type f -name '*.json' -o -name '*.py' -o -name '*.sh'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

vCenter Server의 443 포트가 외부 인터넷에 노출되지 않도록 방화벽 정책을 즉시 점검하고, 최신 보안 패치를 신속히 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 VMware vCenter Server의 고객 경험 향상 프로그램(CEIP)을 담당하는 Analytics 서비스 내에서 발생합니다. 해당 서비스는 외부로부터의 파일 업로드 요청을 처리할 때 적절한 경로 검증(Path Traversal 방지) 및 사용자 인증 단계를 누락하는 설계 결함(CWE-22)을 가지고 있습니다. 이로 인해 공격자는 인증 없이도 임의의 디렉터리에 파일을 생성할 수 있는 권한을 획득하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 vCenter Server의 HTTPS 포트(443/TCP)를 통해 Analytics 서비스의 특정 API 엔드포인트(/analytics/telemetry/ph/api/hyper/send)로 조작된 HTTP POST 요청을 전송합니다. 이 과정에서 경로 탐색 문자열(../)을 파일 경로 매개변수에 삽입하여, 웹 루트 디렉터리나 크론탭(Crontab) 설정 디렉터리 등 시스템 실행 권한이 미치는 영역에 악성 스크립트(웹셸 또는 실행 파일)를 업로드합니다. 이후 운영체제 스케줄러나 웹 서버 엔진이 해당 파일을 실행하도록 유도하여 최종적으로 원격 코드 실행(RCE)을 달성합니다.

3. 비즈니스 및 인프라 파급 영향

vCenter Server는 가상화 인프라(ESXi 호스트 및 가상 머신)를 통합 관리하는 핵심 컨트롤 플레인입니다. 본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로, 공격자가 vCenter의 제어권을 장악할 경우 내부망 전체의 가상 머신 탈취, 데이터 변조, 랜섬웨어 유포 및 비즈니스 서비스의 전면 중단으로 이어질 수 있는 극도로 위험한 시나리오를 초래합니다. 실제 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 야생에서 적극적으로 악용되고 있음이 확인되었습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The vCenter Server contains an arbitrary file upload vulnerability in the Analytics service. A malicious actor with network access to port 443 on vCenter Server may exploit this issue to execute code on vCenter Server by uploading a specially crafted file.

http://packetstormsecurity.com/files/164439/VMware-vCenter-Server-Analytics-CEIP-Service-File-Upload.html

출처: security@vmware.com · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2021-0020.html

출처: security@vmware.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/164439/VMware-vCenter-Server-Analytics-CEIP-Service-File-Upload.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2021-0020.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22005

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-22005)

FAQ

Q1. CVE-2021-22005 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-22005의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-22005에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 vcenter_server입니다. 상세 영향 범위: VMware vCenter Server 7.0 (7.0 U2c 미만 버전) 및 vCenter Server 6.7 (6.7 U3o 미만 버전)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 제조사 공식 패치를 즉시 적용하거나, 패치 적용 전까지 Analytics 서비스를 비활성화하는 임시 완화 조치를 수행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동