Kritische Sicherheitslücke in VMware Aria Operations for Networks
VMware schließt Sicherheitslücken in Aria Operations for Networks. Eine gilt als kritisch und erlaubt den Zugriff ohne Anmeldung.
(Bild: heise online / dmk)
VMware hat eine Sicherheitsmeldung zu Schwachstellen in Aria Operations for Networks, ehemals als vRealize Network Insight bekannt, veröffentlicht. Demnach schließen zugehörige Updates zwei Sicherheitslücken in der Software, von der eine sogar als kritisches Risiko gilt und Zugriff ohne Anmeldung ermöglicht.
Etwas schwammig formulieren die Entwickler, dass Angreifer mit Netzwerkzugriff auf Aria Operations for Networks die SSH-Authentifizierung umgehen und Zugriff auf das Kommandozeilen-Interface erhalten können. Und zwar aufgrund des Fehlens der Erstellung eines einzigartigen kryptografischen Schlüssels (CVE-2023-34039, CVSS 9.8, Risiko "kritisch"). Das Sicherheitsleck betreffe auch Aria Operations for Networks Collectors, ergänzen die Entwickler in der Meldung. Ein Upgrade der Platform-Appliance korrigiere das.
Mehrere Lücken in VMware Aria Operations
Eine weitere Schwachstelle erlaubt angemeldeten bösartigen Akteuren mit administrativem Zugang, Dateien an beliebige Orte im Dateisystem zu schreiben. Dies münde in der Ausführung von aus der Ferne eingeschleustem Code (CVE-2023-20890, CVSS 7.2, hoch).
Die VMware-Entwickler erklären, dass VMware Aria Operations for Networks 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 und 6.10 von den Lücken betroffen sind. Version 6.11.0 und neuer dichten die Sicherheitslecks ab. Die Patches für die jeweiligen Versionen verlinkt VMware in einem eigenen Knowledgebase-Artikel.
IT-Verantwortliche sollten die Aktualisierung umgehend anwenden und nicht auf die lange Bank schieben. VMware-Schwachstellen stehen bei Cyberkriminellen hoch im Kurs. Im Juli tauchte etwa Exploit-Code für eine nur wenige Monate zuvor gestopfte Sicherheitslücke in VMware Aria Operations for Logs auf.
(dmk)
