NSA warnt vor VMware-Schwachstelle

Tenable News
Anzeige

Beitrag teilen

Die NSA warnt davor, dass russische staatlich geförderte Angreifer eine schwerwiegende VMware-Schwachstelle ausnutzen. Dies ist bereits die zweite NSA-Warnung im Zusammenhang mit staatlich geförderten russischen Aktivitäten im Jahr 2020. Eine Analyse von Satnam Narang, der Staff Research Engineer, Security Response bei Tenable.

Die Sicherheitsanfälligkeit wurde von der NSA gegenüber VMware gemeldet , die am 23. November Details in einem Sicherheitshinweis, VMSA-2020-0027.2 , veröffentlichte. Zu diesem Zeitpunkt waren keine Patches verfügbar, obwohl VMware eine Reihe von Problemlösungen bereitstellte.

Anzeige

Die Analyse

CVE-2020-4006 ist eine Sicherheitslücke durch Befehlsinjektion in der administrativen Konfigurator-Komponente in bestimmten Versionen von VMware-Produkten. Zu den betroffenen Produkten gehören:

  • VMware Workspace One-Zugriff (Zugriff)
  • VMware Workspace One-Zugriffsconnector (Access Connector)
  • VMware Identity Manager (vIDM)
  • VMware Identity Manager Connector (vIDM Connector)
  • VMware Cloud Foundation
  • vRealize Suite Lifecycle Manager

Es sind zwei Voraussetzungen erforderlich, um die VMware-Schwachstelle auszunutzen:

  • Zunächst muss ein Angreifer einen Netzwerkzugriff einrichten, um eine Verbindung zur Konfigurator-Komponente herzustellen, auf den normalerweise über Port 8443 zugegriffen werden kann
  • Zweitens muss ein Angreifer über gültige Administrator-Anmeldeinformationen verfügen, um sich beim Konfigurator anmelden zu können

Während diese Voraussetzungen als Hindernis für eine mögliche Ausbeutung erscheinen mögen, hat die NSA berichtet, dass staatlich geförderte russische Akteure diese Verwundbarkeit in freier Wildbahn erfolgreich als Zero-Day ausgenutzt haben.

Anzeige

Zugriff auf geschützte Daten

Laut dem NSA-Gutachten nutzten staatlich geförderte russische Bedrohungsakteure diese Sicherheitsanfälligkeit, um eine Web-Shell, ein bösartiges Skript, mit dem die Remoteverwaltung aktiviert werden kann, auf anfälligen Systemen zu installieren. Durch diesen Zugriff können Bedrohungsakteure weiter auf geschützte Daten zugreifen, indem sie gefälschte SAML-Authentifizierungszusicherungen (Security Assertion Markup Language) an Microsoft Active Directory Federation Services (ADFS) senden. Die vollständige Analyse samt der Beweislage findet sich im englischen Blogbeitrag.

Mehr dazu bei Tenable.com

 


Über Tenable

Tenable ist ein Cyber Exposure-Unternehmen. Weltweit vertrauen über 24.000 Unternehmen auf Tenable, um Cyberrisiken zu verstehen und zu reduzieren. Die Erfinder von Nessus haben ihre Expertise im Bereich Vulnerabilities in Tenable.io kombiniert und liefern die branchenweit erste Plattform, die Echtzeit-Einblick in alle Assets auf jeder beliebigen Computing-Plattform gewährt und diese Assets sichert. Der Kundenstamm von Tenable umfasst 53 Prozent der Fortune 500, 29 Prozent der Global 2000 und große Regierungsstellen. Mehr auf: https://de.tenable.com/


 

Passende Artikel zum Thema

VMware Threat Report zu Cybersicherheit in Deutschland

VMware Threat Carbon Black Report zu Cybersicherheit: Umfrageergebnisse belegen insgesamt weniger Datenlecks in Deutschland – Covid-19-Pandemie bringt neue Bedrohungen für ➡ Weiterlesen

Wie Angreifer Evasion-Techniken nutzen

SophosLabs haben einen neuen Report "How Sunburst Malware Does Defense Evasion" veröffentlicht. Sean Gallagher, Senior Threat Researcher bei Sophos erklärt ➡ Weiterlesen

Verschlüsselungsverbot in EU?

Kommt nun das Verschlüsselungsverbot? Nach dem Terroranschlag von Wien nutzten verschiedene Regierungen einmal mehr die Gelegenheit, gegen die Ende-zu-Ende-Verschlüsselung zu ➡ Weiterlesen

Intra2net für schnelle Datensicherung

Neues Backup-System für schnelle Datensicherung. Intra2net führt mit neuem Release differenzielles Backup ein. Der Groupware- und Security-Spezialist Intra2net (www.intra2net.com) führt ein ➡ Weiterlesen