CVE-2021-21311 riguarda Adminer, uno strumento leggero di gestione di database ampiamente distribuito come un singolo file PHP (adminer.php). La vulnerabilità interessa le versioni dalla 4.0.0 alla 4.7.8 che includono tutti i driver di database per impostazione predefinita. Il difetto risiede nel modo in cui Adminer gestisce le risposte di determinati driver di database (in particolare Elasticsearch e ClickHouse), che possono esporre risposte HTTP grezze nei messaggi di errore. Il problema è stato risolto in Adminer 4.7.9. Adminer è spesso esposto direttamente a internet dagli amministratori per comodità, aumentando significativamente il rischio di sfruttamento. È stato aggiunto al catalogo delle vulnerabilità sfruttate conosciute di CISA il 29 settembre 2025.

Riassunto tecnico

Questa è una vulnerabilità di Server-Side Request Forgery (SSRF) con un punteggio CVSS v3 base di 7.2 (Alto). La vulnerabilità consente a un attaccante remoto non autenticato di forzare Adminer ad effettuare richieste HTTP arbitrarie per conto del server su cui è in esecuzione. Lo sfruttamento può portare a:
Accesso a servizi e API disponibili solo internamente,
Esfiltrazione di dati sensibili (es. servizi di metadati cloud su 169.254.169.254),
Scansione di porte e movimento laterale all’interno di reti interne.

Exploit e proof-of-concept sono disponibili pubblicamente. Le organizzazioni che espongono endpoint adminer.php senza restrizioni sono particolarmente a rischio.

Raccomandazioni

1. Applicare immediatamente la patch: aggiornare Adminer alla versione 4.7.9 o successiva per correggere la vulnerabilità.
2. Limitare l’accesso: restringere l’accesso a Adminer (adminer.php) utilizzando liste di IP consentiti, VPN o controlli di autenticazione.
3. Distribuire build minime: utilizzare build ridotte di Adminer con solo i driver di database necessari, evitando il file adminer.php completo.
4. Controlli di rete: bloccare le connessioni in uscita dagli host Adminer verso intervalli IP sensibili (es. servizi di metadati cloud).
5. Monitoraggio: implementare logging e monitoraggio avanzati per rilevare richieste HTTP sospette originate da Adminer o errori che contengono risposte HTTP grezze.