VMware vCenter zafiyetleri, kurumsal veri merkezlerinde onlarca ya da yüzlerce ESXi sunucusunu ve üzerlerindeki sanal makineleri tek merkezden yöneten vCenter Server yazılımını etkileyen güvenlik kusurlarıdır. vCenter, sanallaştırma ortamının beyni olduğu için, buradaki bir uzaktan kod çalıştırma açığı doğrudan tüm sanal altyapının kontrolü anlamına gelir.

Bir vCenter zafiyeti, tek bir yönetim sunucusunun ele geçirilmesini bütün bir sanal makine filosunun ele geçirilmesine dönüştürebilen, kaldıraç etkisi yüksek bir kusurdur.

Tipik Zafiyet Kalıpları

vCenter’ın geçmişinde tekrar eden bir tema, sunucuya eklenen yardımcı bileşenlerin kimlik doğrulaması olmadan erişilebilir olmasıdır. Örneğin bir izleme veya yedekleme eklentisi, ana kimlik denetiminin dışında kalan bir yol üzerinden dosya yükleme veya seri hale getirilmiş nesne işleme imkânı sunduğunda, saldırgan bu yolu kullanarak sunucuya bir web kabuğu bırakabilir. CVE-2021-21985 ve CVE-2021-22005 gibi yaygın istismar edilen açıklar tam da bu kalıba uyar: internete açık bir vCenter arayüzüne yapılan tek bir özel istek, root yetkisiyle kod çalıştırmaya yeter.

Neden Bu Kadar Değerli Bir Hedef?

Bir saldırgan vCenter’ı ele geçirdiğinde yalnızca yönetim arayüzüne değil, altındaki tüm sanal disklere erişir. Bu, bir sanal makinenin çevrimdışı diskini kopyalayıp içindeki kimlik bilgilerini çıkarmaktan, tüm filoyu tek seferde şifrelemeye kadar uzanan bir güç demektir. Bu nedenle vCenter, fidye yazılımı gruplarının en gözde hedeflerinden biridir; bir kuruluşun tüm üretim ortamını dakikalar içinde kullanılmaz hale getirmenin en verimli yoludur.

Savunma ve Sıkılaştırma

İlk ve en önemli önlem, vCenter yönetim arayüzünü asla doğrudan internete açmamak ve yalnızca ayrılmış bir yönetim ağından erişilebilir kılmaktır. İkincisi, VMware’in kritik yamalarını gecikmeden uygulayan bir yama yönetimi disiplinidir; bu ürünlerdeki açıklar açıklandıktan kısa süre sonra kitlesel taramaya uğrar. Sanallaştırma katmanını da kapsayan bir uç nokta güvenliği yaklaşımı, ESXi ana bilgisayarlarında beklenmedik süreç etkinliğini görünür kılar.

vCenter, mimari olarak ağın en hassas varlıklarından biri sayılmalı ve erişimi en az ayrıcalık ilkesiyle sınırlandırılmalıdır. Yedeklerin sanallaştırma ortamından yalıtık tutulması ise, bir fidye saldırısı gerçekleştiğinde toparlanmayı mümkün kılan can simididir.

Kurumsal Etki

vCenter’ın ele geçirilmesi, çoğu kuruluş için felaket senaryosuyla eş anlamlıdır; çünkü tek bir noktadan tüm iş yükleri risk altına girer. Böyle bir olayın belirtilerini erken yakalamak ve saldırının kapsamını hızlıca sınırlamak için deneyimli bir olay inceleme ve olay müdahalesi ekibiyle önceden planlanmış bir müdahale yeteneği, kayıpları belirleyici ölçüde azaltır.