CVE-2019-5544
VMware ESXi and Horizon DaaS OpenSLP Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2019-5544 ist eine kritische Heap-basierte Buffer-Overflow-Schwachstelle in OpenSLP, wie es in VMware ESXi und Horizon Desktop as a Service (DaaS) verwendet wird. Die Schwachstelle ermöglicht es einem Angreifer mit Netzwerkzugriff auf Port 427, den Heap des OpenSLP-Dienstes zu überschreiben, was zu Remote Code Execution führt. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt, einschließlich bekannter Verwendung in Ransomware-Kampagnen. Mit einem EPSS-Score von 92,69 % (99,75. Perzentile) hat diese VMware ESXi-Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit und stellt eine schwerwiegende Bedrohung für Virtualisierungsinfrastrukturen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | horizon daas | >= 8.0.0, < 9.0.0.0 |
| vmware | esxi | 6.0; 6.5; 6.7 |
| redhat | enterprise linux desktop | 6.0; 7.0 |
| redhat | enterprise linux for ibm z systems | 6.0_s390x; 7.0_s390x |
| redhat | enterprise linux for ibm z systems eus | 7.7_s390x |
| redhat | enterprise linux for power big endian | 6.0_ppc64; 7.0_ppc64 |
| redhat | enterprise linux for power big endian eus | 7.7_ppc64 |
| redhat | enterprise linux for power little endian | 7.0_ppc64le |
| redhat | enterprise linux for power little endian eus | 7.7_ppc64le |
| redhat | enterprise linux server | 6.0; 7.0 |
| redhat | enterprise linux server aus | 7.7 |
| redhat | enterprise linux server eus | 7.7 |
| redhat | enterprise linux server tus | 7.7 |
| redhat | enterprise linux workstation | 6.0; 7.0 |
| openslp | openslp | <= 2.0.0 |
| fedoraproject | fedora | 30; 31 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.openwall.com/lists/oss-security/2019/12/10/2(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/12/11/2(Mailing List, Third Party Advisory)
- http://www.vmware.com/security/advisories/VMSA-2019-0022.html(Patch, Vendor Advisory)
- https://access.redhat.com/errata/RHSA-2019:4240(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2020:0199(Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DA3LYAJ2NRKMOZLZOQNDJ5TNQRFMWGHF/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZPXXJZLPLAQULBCJVI5NNWZ3PGWXGXWG/(Release Notes)
- https://security.gentoo.org/glsa/202005-12(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-5544(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Im Fall von CVE-2019-5544 enthält der OpenSLP-Dienst in VMware ESXi und Horizon DaaS einen Heap-Überschreibungsfehler, der es einem Angreifer ermöglicht, den Heap-Speicher durch speziell konstruierte SLP-Anfragen an Port 427 zu korrumpieren und letztlich beliebigen Code auf dem Hypervisor auszuführen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2019-5544 hat einen CVSS 3.1-Score von 9,8 (CRITICAL), die höchste praktische Schweregradbewertung. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar mit geringer Angriffskomplexität, erfordert keine Authentifizierung und benötigt keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen VMware ESXi-Hosts oder der Horizon DaaS-Appliance und gewährt dem Angreifer potenziell die Kontrolle über alle virtuellen Maschinen, die auf dem Hypervisor laufen. Der EPSS-Score von 92,69 % (99,75. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen verwendet, was sie zu einer besonders hochprioritären Bedrohung für Organisationen mit VMware-Virtualisierungsinfrastruktur macht.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-5544 durch Aufnahme in den KEV-Katalog bestätigt, und diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen gegen VMware ESXi-Umgebungen eingesetzt. Der EPSS-Score von 92,69 % (99,75. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Obwohl kein öffentlicher Exploit-Code mit einem "Exploit"-Tag in den NVD-Referenzen identifiziert wurde, zeigt die aktive Verwendung in Ransomware-Operationen, dass waffenfähige Exploits existieren und aktiv von Bedrohungsakteuren eingesetzt werden. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-05-03 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie die VMware-Sicherheitspatches aus VMSA-2019-0022 für ESXi-Versionen 6.0, 6.5 und 6.7.
- Überprüfen Sie, dass alle VMware ESXi-Hosts (Versionen 6.0, 6.5, 6.7) und Horizon DaaS-Appliances (Versionen 8.x vor 9.0.0.0) aktualisiert wurden. Aktualisieren Sie auch OpenSLP-Installationen auf betroffenen Red Hat Enterprise Linux- und Fedora-Systemen.
- Blockieren Sie den Netzwerkzugriff auf Port 427 (SLP) auf ESXi-Hosts mittels Firewall-Regeln, da die Schwachstelle Netzwerkzugriff auf diesen spezifischen Port erfordert. Deaktivieren Sie den SLP-Dienst auf ESXi-Hosts, wenn er nicht benötigt wird.
- Überwachen Sie ESXi-Host-Protokolle auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Prozessausführung, unerwarteter SLP-Verkehrsmuster und Anzeichen von Ransomware-Aktivität wie VM-Verschlüsselung oder Datastore-Manipulation.
- Implementieren Sie Netzwerksegmentierung, um ESXi-Management-Interfaces vom allgemeinen Netzwerkverkehr zu isolieren, und stellen Sie sicher, dass vMotion- und Management-Netzwerke nicht aus nicht vertrauenswürdigen Zonen zugänglich sind.
Technische Details
CVE-2019-5544 ist eine Heap-basierte Buffer-Overflow-Schwachstelle in der OpenSLP-Implementierung, die von VMware ESXi und Horizon DaaS verwendet wird. Der Fehler tritt auf, wenn der OpenSLP-Dienst speziell konstruierte Service Location Protocol (SLP)-Anfragen auf Port 427 verarbeitet und es einem Angreifer ermöglicht, über die zugewiesenen Heap-Puffergrenzen hinaus zu schreiben. Diese Heap-Überschreibung kann angrenzende Heap-Metadaten und Datenstrukturen korrumpieren und Angreifern ermöglichen, die Kontrolle über den Ausführungsfluss durch Heap-Exploitation-Techniken wie die Korruption von Funktionszeigern oder vtable-Einträgen zu erlangen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Schwachstelle über Port 427 netzwerkzugänglich, trivial ausnutzbar ist und weder Authentifizierung noch Benutzerinteraktion erfordert, was zu einer vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit des Hypervisors führt.
Häufig gestellte Fragen
Wird CVE-2019-5544 aktiv ausgenutzt?
Ja. CVE-2019-5544 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Diese Schwachstelle wird auch bekanntermaßen in Ransomware-Kampagnen gegen VMware ESXi-Umgebungen eingesetzt. Der EPSS-Score von 92,69 % (99,75. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2019-5544 betroffen?
CVE-2019-5544 betrifft primär VMware ESXi Versionen 6.0, 6.5 und 6.7 sowie VMware Horizon DaaS Versionen 8.x vor 9.0.0.0. Zusätzlich sind OpenSLP-Versionen bis 2.0.0 betroffen, was Red Hat Enterprise Linux (6.0, 7.0) und Fedora (30, 31) Distributionen einschließt, die OpenSLP bündeln.
Wie behebe ich CVE-2019-5544?
Apply updates per vendor instructions — installieren Sie die Patches aus dem VMware Security Advisory VMSA-2019-0022. Für Red Hat-Systeme wenden Sie die Updates RHSA-2019:4240 und RHSA-2020:0199 an. Als sofortige Mitigation blockieren Sie Port 427 auf ESXi-Hosts und deaktivieren Sie den SLP-Dienst, falls nicht benötigt.
Wie schwerwiegend ist CVE-2019-5544?
CVE-2019-5544 hat einen CVSS 3.1-Score von 9,8 (CRITICAL). Dies ist eine Schwachstelle maximalen Schweregrades mit bestätigter Ransomware-Nutzung, nahezu sicherer Ausnutzungswahrscheinlichkeit (EPSS 92,69 %) und dem Potenzial, gesamte Virtualisierungsumgebungen einschließlich aller gehosteten virtuellen Maschinen zu kompromittieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.