[datensicherheit.de, 17.04.2020] In einem gerade veröffentlichten Blogbeitrag hat Guardicore Labs die Schwachstelle CVE-2020-3952 detailliert analysiert. Dabei haben die Sicherheitsforscher festgestellt, dass sich die Authentifizierung weiterhin umgehen lässt. Hauptursache für die Sicherheitsanfälligkeit ist ein Fehler in einer Funktion, die sich mit Berechtigungsprüfungen befasst, und ein zweiter Fehler, der einer LDAP-Sitzung ohne Authentifizierungstoken Root-Berechtigungen gewährt. Die Kombination dieser beiden Probleme führte zu der äußerst kritischen Anfälligkeit.

Binärdatei vmdird auf aktualisierten 6.7-Computern weiterhin anfällig

Guardicore Labs zufolge war die Anfälligkeit den VMware-Entwicklern offenbar bereits im August 2017 aufgefallen, der Bugfix allerdings erst jetzt zur Verfügung gestellt. Die vmdird-Binärdatei ist auf aktualisierten 6.7-Computern weiterhin anfällig. Was sich geändert hat, ist die Konfiguration des acl-Modus. Saubere Neuinstallationen werden standardmäßig im Nicht-Legacy-Modus verwendet (der acl-Modus ist aktiviert), aber Upgrades nutzen weiterhin die vorherige Konfiguration, bei der der Legacymodus standardmäßig aktiviert ist. Die Lösung für VmDirLegacyAccessCheck löst nicht die grundsätzliche Problematik, sondern wirkt wie ein Pflaster – es gibt eine Reihe von Problemen bei den Funktionen bIsAnonymousBind, pAccessToken und VmDirLegacyAccessCheck, die behoben werden müssen.

Patch zur Minderung des Risikos empfohlen

Zur Minderung des Risikos empfiehlt sich, den neuesten Patch für die anfällige Version von vCenter Server zu installieren. Besser ist die Installation der neuesten Version 7.0, die eine sichere vSphere-Bereitstellung gewährleistet. Es wird dringend empfohlen, den Zugriff auf die LDAP-Schnittstelle von vCenter einzuschränken. In der Praxis bedeutet dies, dass jeder Zugriff über den LDAP-Port (389) mit Ausnahme der administrativen Verwendung blockiert wird.

Weitere Informationen zum Thema:

Guardicore Labs
What’s a 10? Pwning vCenter with CVE-2020-3952

VMware
VMSA-2020-0006.1

datensicherheit.de, 02.04.2020
„Vollgar“: Neues Botnetz greift MS-SQL-Server an