Die NSA warnt davor, dass russische staatlich geförderte Angreifer eine schwerwiegende VMware-Schwachstelle ausnutzen. Dies ist bereits die zweite NSA-Warnung im Zusammenhang mit staatlich geförderten russischen Aktivitäten im Jahr 2020. Eine Analyse von Satnam Narang, der Staff Research Engineer, Security Response bei Tenable.
Die Sicherheitsanfälligkeit wurde von der NSA gegenüber VMware gemeldet , die am 23. November Details in einem Sicherheitshinweis, VMSA-2020-0027.2 , veröffentlichte. Zu diesem Zeitpunkt waren keine Patches verfügbar, obwohl VMware eine Reihe von Problemlösungen bereitstellte.
Die Analyse
CVE-2020-4006 ist eine Sicherheitslücke durch Befehlsinjektion in der administrativen Konfigurator-Komponente in bestimmten Versionen von VMware-Produkten. Zu den betroffenen Produkten gehören:
- VMware Workspace One-Zugriff (Zugriff)
- VMware Workspace One-Zugriffsconnector (Access Connector)
- VMware Identity Manager (vIDM)
- VMware Identity Manager Connector (vIDM Connector)
- VMware Cloud Foundation
- vRealize Suite Lifecycle Manager
Es sind zwei Voraussetzungen erforderlich, um die VMware-Schwachstelle auszunutzen:
- Zunächst muss ein Angreifer einen Netzwerkzugriff einrichten, um eine Verbindung zur Konfigurator-Komponente herzustellen, auf den normalerweise über Port 8443 zugegriffen werden kann
- Zweitens muss ein Angreifer über gültige Administrator-Anmeldeinformationen verfügen, um sich beim Konfigurator anmelden zu können
Während diese Voraussetzungen als Hindernis für eine mögliche Ausbeutung erscheinen mögen, hat die NSA berichtet, dass staatlich geförderte russische Akteure diese Verwundbarkeit in freier Wildbahn erfolgreich als Zero-Day ausgenutzt haben.
Zugriff auf geschützte Daten
Laut dem NSA-Gutachten nutzten staatlich geförderte russische Bedrohungsakteure diese Sicherheitsanfälligkeit, um eine Web-Shell, ein bösartiges Skript, mit dem die Remoteverwaltung aktiviert werden kann, auf anfälligen Systemen zu installieren. Durch diesen Zugriff können Bedrohungsakteure weiter auf geschützte Daten zugreifen, indem sie gefälschte SAML-Authentifizierungszusicherungen (Security Assertion Markup Language) an Microsoft Active Directory Federation Services (ADFS) senden. Die vollständige Analyse samt der Beweislage findet sich im englischen Blogbeitrag.
Mehr dazu bei Tenable.com
Über Tenable Tenable ist ein Cyber Exposure-Unternehmen. Weltweit vertrauen über 24.000 Unternehmen auf Tenable, um Cyberrisiken zu verstehen und zu reduzieren. Die Erfinder von Nessus haben ihre Expertise im Bereich Vulnerabilities in Tenable.io kombiniert und liefern die branchenweit erste Plattform, die Echtzeit-Einblick in alle Assets auf jeder beliebigen Computing-Plattform gewährt und diese Assets sichert. Der Kundenstamm von Tenable umfasst 53 Prozent der Fortune 500, 29 Prozent der Global 2000 und große Regierungsstellen.