vCenter: a falha de upload que dava acesso ao appliance de gestão da própria virtualização

Em junho de 2021, a Broadcom, que mantém o vCenter, publicou a CVE-2021-21972 e a CVE-2021-22005, falhas no appliance de gestão da virtualização. A primeira permitia escrever arquivos no sistema, e a segunda dava execução de código remoto sem autenticação, com acesso de administrador.

A gravidade do vCenter é diferente da de um servidor comum. Ele é o ponto de controle de toda a infraestrutura virtualizada: quem entra nele controla as máquinas, os discos, as redes e os backups. A campanha de exploits que exploitou a falha instalou uma backdoor no próprio appliance, com a finalidade de garantir persistência mesmo depois da atualização, e aiobtenção de credenciais de usuário e de chave de assinatura de certificados.

O que a caso mostrou é que o appliance de gestão é, na prática, um servidor de produção com privilégio máximo sobre tudo. Tratá-lo como um equipamento de rede comum, com a mesma disciplina de atualização e de acesso dos outros, é o que permite que a falha de um componente de interface vire o incidente da empresa inteira.

A lição é direta: o que administra tem que ser tratado como o que é, o núcleo da operação. Segmentar o acesso ao vCenter, exigir autenticação forte, monitorar alterações de configuração e manter a atualização em dia é o conjunto mínimo. Sem isso, a falha mais simples do produto vira o problema maior da empresa.