CVE-2021-22054

Falha de SSRF (CWE-918) no console de administração do VMware Workspace ONE UEM que permite a um atacante com acesso de rede ao console fazer requisições para recursos internos sem se autenticar, obtendo acesso a informações sensíveis. Está no catálogo KEV da CISA com exploração ativa confirmada e overlap com campanhas de scanning massivo de SSRF observadas por pesquisadores independentes em 2025, quatro anos após a divulgação original.

A vulnerabilidade está no console UEM (o painel administrativo, não o agente ou o servidor de dados corporativos) e se encaixa na classe clássica de SSRF: algum componente do console aceita um destino de requisição controlado (direta ou indiretamente) pelo cliente e a executa a partir do servidor, sem validar se o destino é externo legítimo ou um recurso interno/local. O detalhe exato de qual endpoint ou parâmetro do console é vulnerável não foi divulgado publicamente pela VMware no advisory disponível — a empresa só confirma a classe de falha (SSRF) e o impacto (acesso a informação sensível), sem descrever o fluxo de código ou a rota HTTP afetada.

O ponto crítico do advisory oficial é que a requisição forjada é enviada 'sem autenticação' — ou seja, não é necessário possuir credenciais válidas no console UEM para acionar o SSRF, apenas alcançar a interface na rede. Isso eleva bastante o risco em qualquer implantação onde o console esteja exposto à internet ou a segmentos de rede não confiáveis, cenário comum em ambientes de gestão de dispositivos móveis (MDM) que precisam ser acessíveis por dispositivos remotos.

Como é um SSRF sem escrita (Integrity e Availability marcados como None no vetor CVSS, só Confidentiality:High), o impacto documentado é leitura/exfiltração de dados via requisições forjadas — por exemplo, contra endpoints internos, serviços de metadados de nuvem quando o console roda em ambiente cloud, ou outros serviços da rede interna que o atacante normalmente não alcançaria diretamente.

Pré-requisito real é apenas acesso de rede à interface administrativa do console UEM — não é necessária conta ou sessão autenticada, o que torna o vetor de baixa complexidade (AC:L, PR:N, UI:N no CVSS). Isso explica por que o CVSS de 7.5 é justificado apesar de não haver impacto em integridade ou disponibilidade: a ausência total de barreira de autenticação compensa o impacto restrito à confidencialidade.

Não há PoC detalhado publicamente disponível nas fontes consultadas aqui além da confirmação de que existe PoC pública e template Nuclei catalogados — o que facilita scanning automatizado em massa. Isso é consistente com o que a GreyNoise reportou em março de 2025: uma onda coordenada de exploração envolvendo ~400 IPs únicos testando simultaneamente 10 CVEs de SSRF diferentes, incluindo o CVE-2021-22054, contra alvos nos EUA, Alemanha, Singapura, Índia e Japão. O padrão de múltiplos IPs testando várias CVEs de SSRF ao mesmo tempo (em vez de focar numa única falha) sugere automação estruturada ou reconhecimento pré-compromisso, não ruído de botnet genérico.

O resultado final de uma exploração bem-sucedida, segundo o próprio fornecedor, é acesso a informação sensível — sem detalhamento público de qual informação exatamente (credenciais internas, dados de configuração, metadados de infraestrutura cloud são os alvos típicos de SSRF em produtos desse tipo, mas isso não foi confirmado pela VMware nas fontes disponíveis).

A correção definitiva é atualizar o console Workspace ONE UEM para a versão de patch correspondente ao branch em uso: 20.0.8.37 ou superior (branch 20.0.8.x), 20.11.0.40 ou superior (branch 20.11.0.x), 21.2.0.27 ou superior (branch 21.2.0.x), ou 21.5.0.37 ou superior (branch 21.5.0.x). Não há indicação nas fontes de versões mais recentes (posteriores a 21.5.x) que também precisem de backport — se o ambiente já rodar um branch mais novo, verificar diretamente o advisory oficial da VMware/Omnissa para confirmação.

Como paliativo real quando o patch não pode ser aplicado imediatamente, o controle compensatório mais efetivo é restringir o acesso de rede ao console UEM — ele nunca deveria estar exposto diretamente à internet sem controle de acesso adicional (VPN, allowlist de IPs administrativos, segmentação). Isso neutraliza o pré-requisito de 'acesso de rede sem autenticação' que torna essa falha explorável. O custo é operacional: equipes de administração remota do MDM perdem acesso direto e passam a depender de VPN ou bastion.

O que não funciona como mitigação: assumir que exigir autenticação de usuário no restante da aplicação resolve o problema — o próprio advisory diz que a requisição SSRF é enviada sem autenticação, então controles de login da aplicação não cobrem essa rota. Monitorar apenas logs de aplicação também não é suficiente sem visibilidade de rede, dado o padrão de exploração em massa observado.

Não há assinatura de log ou payload específico publicamente documentado nas fontes consultadas para esta CVE em particular. A recomendação prática, alinhada ao que a GreyNoise orienta para a onda de exploração de SSRF observada em 2025, é monitorar requisições HTTP de saída inesperadas originadas pelo servidor do console UEM — em especial para endereços de metadados de nuvem (ranges internos reservados), IPs internos fora do escopo normal de operação do UEM, ou destinos externos incomuns — já que isso é o comportamento característico de um SSRF sendo acionado, independentemente do endpoint exato explorado.

Como indicador de campanha mais ampla, overlap de tentativas contra múltiplas CVEs de SSRF distintas partindo do mesmo conjunto de IPs de origem (padrão relatado pela GreyNoise) é um sinal de reconhecimento automatizado em massa, não de ataque direcionado — útil para triagem de prioridade, mas não prova isolada de comprometimento bem-sucedido.