Sicherheitsupdates: VMware dichtet kritisches Sicherheitsleck ab
VMware schließt mit Updates für Carbon Black App Control und vRealize sowie Cloud Foundation eine kritische und eine hochriskante Schwachstelle.
VMware hat Aktualisierungen für VMware Carbon Black App Control und VMware vRealize Orchestrator, vRealize Automation sowie VMware Cloud Foundation veröffentlicht. Der Hersteller schließt damit teils kritische, teils hochriskante Sicherheitslücken, die Angreifern etwa Zugriff auf das zugrundeliegende Betriebssystem und damit der Kompromittierung ermöglichten.
VMware Carbon Black: Kritische Lücke
In Carbon Black App Control von VMware könnten Angreifer Befehle einschleusen, die an das Betriebssystem durchgereicht werden. VMware erläutert in der Sicherheitsmeldung: "Ein böswilliger Akteur mit privilegiertem Zugriff auf die App-Control-Verwaltungskonsole könnte in der Lage sein, manipulierte Daten zu verwenden, die den Zugriff auf das zugrunde liegende Serverbetriebssystem ermöglichen" (CVE-2023-20858, CVSS 9.1, Risiko "kritisch").
Betroffen sind App Control 8.9.x, 8.8.x sowie 8.7.x unter Windows. Die Versionen 8.9.4, 8.8.6 und 8.7.8 dichten die Schwachstellen ab. VMware hat auch jeweils Release Notes zu Carbon Black 8.9.4 sowie zu Carbon Black 8.8.6 und 8.7.8 herausgegeben, die unter anderem Hinweise und Download-Links auf die fehlerbereinigte Software enthalten.
Eine Schwachstelle in VMware vRealize Orchestrator, vRealize Automation und Cloud Foundation erläutert VMware in einer weiteren Sicherheitsmeldung. Die Lücke steht im Zusammenhang mit der Verarbeitung von XML External Entity (XEE) und ermöglicht Angreifern etwa das Ausweiten der Rechte am System. "Ein böswilliger Akteur mit nicht-administrativem Zugriff auf vRealize Orchestrator kann möglicherweise speziell präparierte Daten verwenden, um XML-Parsing-Beschränkungen zu umgehen und Zugang zu sensiblen Informationen zu erlangen oder eine eigene Zugriffsrechte auszuweiten", erklärt VMware zur Lücke (CVE-2023-20855, CVSS 8.8, hoch).
Die Lücke befindet sich in VMware vRealize 8.x, Version 8.11.1 dichtet sie ab. Auf der Webseite stehen die Downloads für VMware vRealize Orchestrator 8.11.1 sowie für VMware vRealize Automation 8.11.1 bereit. Für VMware Cloud Foundation hat der Hersteller eine eigene Anleitung zur Aktualisierung zur Verfügung gestellt.
IT-Verantwortliche sollten die bereitstehenden Aktualisierungen zügig anwenden. Sicherheitslücken in VMware wurden kürzlich in weltweiten Cyber-Attacken angegriffen, um damit Ransomware einzuschleusen.
(dmk)
