Warten auf Patches: Kritische VMware-Lücke gefährdet Linux- und Windows-Systeme Update

Alert! Stand: 24.11.2020 10:58 Uhr Dennis Schirrmacher

(Bild: Artur Szczybylo/Shutterstock.com)

Software von VMware ist über eine Zero-Day-Lücke attackierbar. Bislang gibt es nur Workarounds zur Absicherung.

Unter bestimmten Voraussetzungen könnten Angreifer Linux- und Windows-Systeme mit VMware Cloud Foundation, IdentityManager, Identity Manager Connector, vRealize Suite Lifecycle Manager, Workspace One Access und Workspace One Access Connector attackieren und Schadcode ausführen. Sicherheitsupdates sind noch nicht verfügbar. Admins müssen ihre Systeme mit Workarounds absichern.

Um die mit dem Bedrohungsgrad "hoch" eingestufte Lücke (CVE-2020-4006) erfolgreich ausnutzen zu können, benötigen Angreifer Netzwerkzugriff auf das Admin-Konfigurationspanel (Port 8443). Dafür ist ein gültiges Passwort nötig. Ist der Zugriff gegeben, könnten sie eigene Befehle mit uneingeschränkten Rechten ausführen.

Systeme jetzt absichern!

In einer Warnmeldung listet VMware weitere Infos zur Sicherheitslücke auf [1]. Wie man einem Beitrag entnehmen kann [2], funktionieren die Workarounds ausschließlich mit Identity Manager, Identity Manger Connector und Workspace One Access.

Ist der Workaround aktiv, können Admins das Konfigurationspanel nicht benutzen. Ist das unbedingt notwendig, können sie den Workaround temporär deaktivieren und nachdem die Einstellungen vorgenommen wurden wieder scharf schalten.

Wann die Sicherheitsupdates erscheinen sollen, ist derzeit noch nicht bekannt. Diese Versionen sind von der Lücke betroffen:

VMware Cloud Foundation 4.x (alle Systeme)
vRealize Suite Lifecycle Manager 8.x (alle Systeme)
VMware Workspace One Access 20.10 (Linux)
VMware Workspace One Access 20.01 (Linux)
VMware Identity Manager 3.3.3 (Linux)
VMware Identity Manager 3.3.2 (Linux)
VMware Identity Manager 3.3.1 (Linux)
VMware Identity Manager Connector 3.3.2, 3.3.1 (Linux)
VMware Identity Manager Connector 3.3.3, 3.3.2, 3.3.1 (Windows)

[UPDATE 04.12.2020 10:00 Uhr]

Bedrohungsgrad der Lücke im Fließtext korrigiert. (des [3])

URL dieses Artikels:
https://www.heise.de/-4969353

Links in diesem Artikel:
[1] https://www.vmware.com/security/advisories/VMSA-2020-0027.html
[2] https://kb.vmware.com/s/article/81731
[3] mailto:des@heise.de