VMware veröffentlicht einen Patch für ein kritisches Leck in der vCenter Server Platform. Über das Leck konnten Angreifer unter gewissen Umständen beliebigen Code in der Software ausführen. Betroffen sind vCenter 6.5 und 6.0. Mit den jetzt veröffentlichten Versionen 6.5c und 6.0U3b hat der Hersteller die Verwundbarkeiten behoben. Über den Fehler in VMware, warnt US-CERT, sollen Angreifer unter Umständen das gesamte System unter Kontrolle bringen können.
Betroffene Nutzer sollten möglichst schnell die Updates aufspielen, wie das Unternehmen in einem Blog erklärt. Zuvor hatte das US-CERT vor dem Leck CVE-2017-5641 gewarnt.
Der Fehler in dem Verwaltungstool für Server und virtuelle Umgebungen liegt in der BlazeDS Library, der sich auch von Außerhalb des Systems ausnutzen lässt. Der eigentliche Fehler liegt in der Art, wie BlazeDS AMF3-Messages (Action Message Format 3) verarbeitet. Diese Technologie stammt ursprünglich von Adobe und ist eine Web-und Server-basierte Java-Technologie. Flash-Anwendungen und ActionScript-Objecte nutzen das Message-Format AMF3 für die Kommunikation und Serialisierung. Ein Angreifer kann nun beliebigen Code in das System einschleusen, wenn die BlazeDS ein nicht vertrauenswürdiges Java-Object deserialisiert.
Laut VMware ist CVE-2017-5641 in dem Customer Experience Improvement Program (CEIP) des Programms enthalten. Aber auch wenn diese Funktion deaktiviert ist, bleibe das Leck bestehen, warnt VMware.
Mitarbeiter sind heute mit Konnektivität, Mobilität und Video aufgewachsen oder vertraut. Sie nutzen die dazu erforderlichen Technologien privat und auch für die Arbeit bereits jetzt intensiv. Nun gilt es, diese Technologien und ihre Möglichkeiten in Unternehmen strategisch einzusetzen.
Bereits Anfang des Monats hatte der deutsche Penetration-Tester Markus Wulftange von dem Sicherheitsunternehmen Code White den Fehler in AMF entdeckt und dazu umfangreiche Details veröffentlicht.
Vor etwa zwei Woche hatte Wulftange das Leck an US-CERT gemeldet und die Vermutung geäußert, dass neben VMware auch weitere Produkte von Atlassian, HPE, Exadel und SonicWall von dem Leck betroffen sein könnten. Unklar sei laut US-CERT nach wie vor, ob HPE, SonicWall oder Pivotal Spring über dieses Leck angegriffen werden können. Atlassian, Adobe und Apache Software Foundation hatten den Fehler in ihren Produkten bereits vor einigen Wochen behoben.
Unternehmen aus der DACH-Region sehen nur vereinzelt Anwendungsmöglichkeiten für die Blockchain-Technologie.
SAS bietet einsatzfertige KI-Modelle für konkrete Herausforderungen wie Betrugserkennung und Lieferkettenoptimierung.
Cisco stellt neuen Ansatz zur umfassenden Absicherung der IT-Infrastruktur vor.
Deloitte-Studie äußert jedoch Verständnis für die Zurückhaltung der Kunden. Nutzen der Angebote sei hierzulande kaum…
Die Ziele einer Festplattenspiegelung und eines Backups sind unterschiedlich, sagt Sven Richter von Arcserve.
Das Damoklesschwert NIS-2 kann daher schneller wirksam werden, als manchem lieb ist, warnt Bernhard Kretschmer…
