CVE-2020-3950
VMware Multiple Products Privilege Escalation Vulnerability
Beschreibung
CVE-2020-3950 ist eine hochkritische Privilege-Escalation-Schwachstelle, die mehrere VMware-Produkte für macOS betrifft, darunter VMware Fusion, Remote Console (VMRC) für Mac und Horizon Client für Mac. Die Schwachstelle entsteht durch die unsachgemäße Verwendung von setuid-Binärdateien, die es einem Angreifer mit normalen Benutzerrechten ermöglicht, Root-Zugriff auf dem Host-System zu erlangen. CISA hat CVE-2020-3950 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 19,65 % (95,3. Perzentil) weist diese VMware-Privilege-Escalation-Schwachstelle eine hohe Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | fusion | >= 11.0.0, < 11.5.2 |
| vmware | horizon client | >= 5.0.0, < 5.4.0 |
| vmware | remote console | >= 11.0.0, < 11.0.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156843/VMware-Fusion-11.5.2-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/157079/VMware-Fusion-USB-Arbitrator-Setuid-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2020-0005.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3950(US Government Resource)
Schwachstellentyp
CWE-269: Unsachgemäße Rechteverwaltung
Unsachgemäße Rechteverwaltung tritt auf, wenn ein Produkt Rechte für Akteure nicht ordnungsgemäß zuweist, ändert, verfolgt oder prüft. Im Fall von CVE-2020-3950 haben VMware Fusion, VMRC und Horizon Client für Mac setuid-Binärdateien unsachgemäß konfiguriert, wodurch lokale Benutzer die erhöhten Privilegien dieser Binärdateien ausnutzen können, um Root-Zugriff auf dem zugrunde liegenden macOS-System zu erlangen.
Mehr erfahren: CWE-269 — Unsachgemäße Rechteverwaltung
Auswirkungsanalyse
CVE-2020-3950 hat einen CVSS-3.1-Score von 7,8 (HOCH) und stellt eine ernsthafte lokale Privilege-Escalation-Bedrohung dar. Die Schwachstelle erfordert lokalen Zugriff auf das System und niedrige Benutzerrechte, aber die Ausnutzung ist mit geringer Angriffskomplexität und ohne Benutzerinteraktion unkompliziert. Vertraulichkeit (Hoch): Ein erfolgreicher Exploit gewährt Root-Zugriff und ermöglicht dem Angreifer das Lesen aller Daten auf dem System, einschließlich sensibler Dateien und Anmeldedaten. Integrität (Hoch): Mit Root-Privilegien kann ein Angreifer jede Datei auf dem System ändern, Hintertüren installieren oder VMware-Konfigurationen manipulieren. Verfügbarkeit (Hoch): Volle Systemkontrolle ermöglicht dem Angreifer, Dienste zu stören, virtuelle Maschinen herunterzufahren oder das Host-System funktionsunfähig zu machen. Der EPSS-Score von 19,65 % weist auf eine signifikante Wahrscheinlichkeit aktiver Ausnutzung hin, was eine sofortige Behebung für Organisationen mit betroffenen VMware-Produkten auf macOS kritisch macht.
Exploit-Reifegrad
CVE-2020-3950 wird durch seine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Öffentlicher Exploit-Code ist verfügbar für diese Schwachstelle über Packet Storm Security und einen USB Arbitrator setuid Exploit, was die Hürde für Angreifer erheblich senkt. Der EPSS-Score von 19,65 % (95,3. Perzentil) deutet auf eine hohe Wahrscheinlichkeit von Ausnutzungsaktivitäten hin. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der verbindlichen operativen Direktive von CISA zu beheben.
Behebung
- Wenden Sie Herstellerpatches sofort an, wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Aktualisieren Sie VMware Fusion auf Version 11.5.2 oder höher, VMware Remote Console für Mac auf Version 11.0.1 oder höher und VMware Horizon Client für Mac auf Version 5.4.0 oder höher.
- Überprüfen Sie, dass alle macOS-Systeme mit betroffenen VMware-Produkten (VMware Fusion >= 11.0.0 und < 11.5.2, Horizon Client >= 5.0.0 und < 5.4.0, Remote Console >= 11.0.0 und < 11.0.1) auf gepatchte Versionen aktualisiert wurden.
- Auditieren Sie setuid-Binärdateien auf betroffenen macOS-Systemen, um sicherzustellen, dass keine unautorisierten Änderungen vorgenommen wurden. Entfernen oder beschränken Sie unnötige setuid-Berechtigungen auf VMware-bezogenen Binärdateien als Übergangsmaßnahme.
- Überwachen Sie lokale Systemprotokolle auf Indikatoren für Privilege-Escalation-Versuche, einschließlich unerwarteter Root-Level-Prozessausführung ausgehend von VMware-Binärdateien und unautorisierter Dateiänderungen.
- Implementieren Sie Least-Privilege-Zugriffskontrollen auf macOS-Systemen mit VMware-Produkten und stellen Sie sicher, dass nur autorisierte Benutzer lokalen Zugriff haben und rollenbasierte Zugriffskontrolle durchgesetzt wird.
Technische Details
CVE-2020-3950 resultiert aus unsachgemäßer Rechteverwaltung in VMware Fusion (11.x vor 11.5.2), VMware Remote Console für Mac (11.x und früher vor 11.0.1) und Horizon Client für Mac (5.x und früher vor 5.4.0). Die Schwachstelle wird durch die unsichere Verwendung von setuid-Binärdateien verursacht — ausführbare Dateien, die mit den Privilegien des Dateieigentümers (typischerweise Root) laufen, unabhängig vom aufrufenden Benutzer. Ein Angreifer mit normalem Benutzerzugang kann die fehlkonfigurierten setuid-Binärdateien ausnutzen, um Privilegien auf dem macOS-Host auf Root zu eskalieren. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass es sich um einen lokalen Angriffsvektor handelt, der niedrige Privilegien und geringe Komplexität erfordert, keine Benutzerinteraktion benötigt und zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit innerhalb der verwundbaren Komponente führt.
Häufig gestellte Fragen
Wird CVE-2020-3950 aktiv ausgenutzt?
Ja. CVE-2020-3950 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 19,65 % (95,3. Perzentil) deutet zusätzlich auf eine hohe Ausnutzungswahrscheinlichkeit hin. Es besteht derzeit keine bekannte Verbindung zu Ransomware-Kampagnen.
Welche Produkte sind von CVE-2020-3950 betroffen?
CVE-2020-3950 betrifft VMware Fusion (Versionen 11.x vor 11.5.2), VMware Remote Console für Mac (Versionen 11.x und früher vor 11.0.1) und VMware Horizon Client für Mac (Versionen 5.x und früher vor 5.4.0). Alle drei Produkte sind auf macOS-Plattformen betroffen.
Wie behebe ich CVE-2020-3950?
Wenden Sie Updates gemäß Herstelleranweisungen an. Aktualisieren Sie VMware Fusion auf 11.5.2+, Remote Console für Mac auf 11.0.1+ und Horizon Client für Mac auf 5.4.0+. Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den lokalen Benutzerzugang und auditieren Sie setuid-Binärdateien auf betroffenen Systemen.
Wie schwerwiegend ist CVE-2020-3950?
CVE-2020-3950 hat einen CVSS-3.1-Score von 7,8 (HOCH). Die Schwachstelle ermöglicht lokale Privilege-Escalation zu Root durch Missbrauch von setuid-Binärdateien. Der EPSS-Score von 19,65 % platziert sie im 95,3. Perzentil, was auf eine signifikante Ausnutzungswahrscheinlichkeit hinweist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.