VMware schließt Lücken in zahlreichen Produkten
Der Hersteller VMware hat aktualisierte Versionen nahezu aller seiner Produkte herausgegeben, die zahlreiche Sicherheitslücken schließen.
VMware, Hersteller von Virtualisierungssoftware, hat zahlreiche Produktupdates veröffentlicht, die Schwachstellen in nahezu allen Produkten aus dem Portfolio schließen. Angreifer können sie unter anderem dazu missbrauchen, um beispielsweise aus dem Gastsystem in der virtuellen Maschine auszubrechen oder Prozesse im Host-System zu beenden. Insgesamt listet die Sicherheitsmeldung von VMware 20 Einträge zu Sicherheitslücken in der Datenbank Common Vulnerabilites and Exposures (CVE) auf, die die neuen Versionen abdichten.
Besonders kritisch sind die Schwachstellen, durch die Angreifer oder Schadsoftware aus der virtuellen Maschine ausbrechen können. Aus einem Konto mit Administratorrechten auf einem Gastsystem können Angreifer etwa den Speicher von Prozessen im Wirtssystem so manipulieren, dass dabei eingeschleuster Schadcode zur Ausführung kommt. Außerdem ist es möglich, Prozesse im Wirtssystem zum Absturz zu bringen. Im integrierten DHCP-Server können manipulierte Pakete Zugriff mit SYSTEM-Rechten ermöglichen.
Unter Windows als Wirtssystem können Anwender aus dem Netz aufgrund von Fehlern in den Bibliotheken IntraProcessLogging.dll und vielib.dll beliebige Dateien im Wirt überschreiben. Außerdem starten die Windows-Versionen einige Dienste mit unsicheren Optionen, wodurch Angreifer ihre Rechte ausweiten können. Die Updates schließen auch Schwachstellen in Produkten von Drittherstellern wie die mitgelieferten Samba- oder Kerberos-Versionen der ESX-Server.
Betroffen sind die ESX-Server 2.0.2, 2.1.3, 2.5.3, 2.5.4, 3.0.0 und 3.0.1. Auch für die Workstation-Versionen 5.5.5 und 6.0.1 stellt VMware Updates bereit, ebenso für den Server 1.0.4, ACE 1.0.4 und 2.0.1 sowie den VMware Player 1.0.5 und 2.0.1. Die Download-Adressen inklusive der MD5-Prüfsummen zum Überprüfen der Dateiintegrität nach dem Download für die aktualisierten Fassungen finden sich am Ende der Sicherheitsmeldung. VMware-Administratoren und -Nutzer sollten die aktualisierten Versionen so bald wie möglich einspielen, damit Schadsoftware oder Angreifer in der virtuellen Umgebung die kritischen Lücken nicht ausnutzen können.
Siehe dazu auch:
- Critical security updates for all supported versions of VMware ESX Server, VMware Server, VMware Workstation, VMware ACE, and VMware Player, Sicherheitsmeldung von VMware
(dmk)
