Hacker nutzen Leck in VMware vCenter und ESXi

VMwares vCenter und ESXi leiden unter Lecks. Diese ermöglichen es Angreifern remote beliebigen Code Programmcode auf Hosts auszuführen. Eine tragende Rolle spielt dabei offenbar eine unsichere Konfiguration der Java Management Extensions (JMX) in vCenter.

Doug McLeod von 7 Elements, der den Bug beschreibt, erklärt, dass Angreifer so Zugang auf Systemlevel zu Servern bekommen, auf denen Virtuelle Maschinen laufen. Dies kompromittiere die gesamte Umgebung. In dem Bericht von 7 Elements heißt es: “VMware vCenter stellt eine zentralisierte Plattform für die Verwaltung aller vSphere-Umgebungen eines Nutzers dar, so dass man eine virtuelle Infrastruktur automatisiert betreiben kann. Wie jetzt bemerkt, band vCenter einen nicht autorisierten JMX/JRI-Service in seinen Netzwerkstack ein.”

Da der JMX-Dienst keine Authentifizierung erforderte, konnten User Beans von entfernten URLs laden, die wiederum auf eine JAR-Datei mit ausführbarem Code verwiesen. “Mit verfügbaren Werkzeugen ist es trivial, volle Kontrolle über eine anfällige vCenter-Instanz zu erlangen”, warnt Mcleod.

Die Schwachstelle wurde ihm zufolge tatsächlich auch schon attackiert: “Der Angriffsvektor wird bereits von zwei bekannten Metasploit-Modulen genutzt, und überdies von einem weiteren Exploit, der aus Java-Class-Dateien besteht, die bei Kompilierung und Ausführung Kommandos an den Server senden.”

Mcleod wies VMware Ende Februar auf die Schwachstelle hin. Betroffen war vCenter Server 5.0 bis 6.0. Ein Patch ist jetzt verfügbar. Außer Mcleod dankt VMware auch einem anonymen Forscher von HPs Zero Day Initiative, der sich ebenfalls mit dieser Schwachstelle beschäftigte.

Im gleichen Advisory weist VMware auf einen weiteren Remote-Execution-Bug hin, der in ESXi 5.0, 5.1 und 5.5 steckt. Die Funktion SLPDProcessMessage() von OpenSLP enthielt einen Double-free-Fehler, also eine mehrfache Deallokation. Angreifer konnten dadurch Code “auf dem ESXi-Host ausführen”, wie VMware schreibt. Es bedankt sich bei Qinghao Tang von QIHU 360, der die Lücke gemeldet hatte.

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Redaktion

Recent Posts

Mensch-Maschine-Interaktion mit GPT 4o

GPT 4.0 transformiert die Art und Weise, wie wir mit Maschinen kommunizieren, und bietet Fähigkeiten,…

14 Stunden ago

CrowdStrike-CEO entschuldigt sich für weltweite IT-Störung

Die Entschuldigung richtet sich an Kunden des Unternehmens und an Betroffene wie Flugreisende. Ein fehlerhaftes…

1 Tag ago

Weltweiter IT-Ausfall: Angriff ist die beste Verteidigung

Kommentare von IT- und Security-Experten zur Update-Panne bei CrowdStrike.

3 Tagen ago

KI & Microsoft Copilot: Höhenflug oder Bruchlandung?

Zukünftig setzt der staatliche Glücksspielanbieter auf Microsoft Dynamics 365 Business Central.

3 Tagen ago

Automatisierung im Personalwesen: So revolutioniert Digitaltechnik die Lohn- und Gehaltsabrechnung

Die Digitalisierung hat die Art und Weise, wie Aufgaben erledigt werden, in vielen Bereichen stark…

4 Tagen ago

Europas RZ-Kapazität wächst bis 2027 um ein Fünftel

Laut Immobilienmarktbeobachter Savills entspricht dieser Ausbau dem jährlichen Energiebedarf von mehr als einer halben Million…

5 Tagen ago