VMware Aria: Angriffe auf kritische Sicherheitslücke – Update installieren!
VMware hat seine Sicherheitsmeldung zu einer kritischen Schwachstelle in der Monitoring-Software Aria Operations aktualisiert. Demnach wird sie angegriffen.
(Bild: Gorodenkoff/Shutterstock.com)
In der Überwachungssoftware VMware Aria Operations for Networks – ehemals als VMware vRealize Operations bekannt – hat der Hersteller vor rund zwei Wochen mit Softwareupdates teils kritische Sicherheitslücken geschlossen. Cyberkriminelle greifen eine davon inzwischen aktiv in freier Wildbahn an, warnt VMware.
Eine der beiden kritischen Sicherheitslücken, die die aktualisierte Software abdichtet, ermöglicht Angreifern aus dem Netz, Befehle einzuschleusen und so beliebigen Schadcode auf betroffenen Geräten auszuführen (CVE-2023-20887, CVSS 9.8, Risiko "kritisch"). Die Sicherheitsmeldung haben die Entwickler von VMware jetzt mit dem Hinweis aktualisiert, dass sie den Missbrauch dieser Schwachstelle in freier Wildbahn bestätigen können, nachdem vor einer Woche Exploit-Code dafür veröffentlicht wurde.
VMware Aria: Update installieren
Updates stehen für VMware Aria Operations for Networks 6.x HF bereit. Der zugehörige Knowledgebase-Eintrag von VMware spricht von Patches für vRNI 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 und 6.10. Das Kürzel steht für den alten Produktnamen vRealize Network Insight.
Für die einzelnen vRNI-Versionen stehen jeweils eigene Patches bereit, die dem Namensschema VMware-vRNI.<Versionsnummer>.<Patchlevel>.<Build-Nummer>.patch.bundle folgen. IT-Verantwortliche sollten so schnell wie möglich die bereitstehenden Aktualisierungen herunterladen und anwenden. VMware hat die rund 780 bis 1240 MByte großen Softwareflicken im Knowledgebase-Eintrag verlinkt.
Ohne Aktualisierung laufen Administratoren Gefahr, Opfer eines Cyber-Angriffs zu werden. Im Februar dieses Jahres kam es weltweit zu tausenden Angriffen auf eine VMware-Schwachstelle. Die Cyberkriminellen platzierten Ransomware auf verwundbaren Systemen und sperrten die Besitzer gewissermaßen aus. Ein Update zum Schließen der Lücke stand bereits seit 2021 bereit.
(dmk)
