CVE-2020-3952
VMware vCenter Server Information Disclosure Vulnerability
Beschreibung
CVE-2020-3952 ist eine kritische Schwachstelle zur Informationsoffenlegung in VMware vCenter Server, die durch fehlende Authentifizierung im VMware Directory Service (vmdir) verursacht wird. Wenn der Platform Services Controller (PSC) Zugriffskontrollen nicht korrekt implementiert, kann ein Angreifer mit Netzwerkzugriff auf Port 389 hochsensible Informationen ohne jegliche Authentifizierung extrahieren. CISA hat CVE-2020-3952 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 94,36 % (99,96. Perzentil) weist diese VMware-vCenter-Server-Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | vcenter server | 6.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157896/VMware-vCenter-Server-6.7-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2020-0006(Broken Link, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3952(US Government Resource)
Schwachstellentyp
CWE-306: Fehlende Authentifizierung für kritische Funktion
Fehlende Authentifizierung für kritische Funktion tritt auf, wenn Software keine Authentifizierung für Funktionalität durchführt, die eine nachweisbare Benutzeridentität erfordert. Bei CVE-2020-3952 implementiert der VMware Directory Service (vmdir) innerhalb von vCenter Server keine ordnungsgemäßen Zugriffskontrollen auf seiner LDAP-Schnittstelle (Port 389), wodurch nicht authentifizierte Angreifer auf sensible Verzeichnisdaten zugreifen und diese extrahieren können, die gültige Anmeldedaten erfordern sollten.
Mehr erfahren: CWE-306 — Fehlende Authentifizierung für kritische Funktion
Auswirkungsanalyse
CVE-2020-3952 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und weist auf eine extrem schwerwiegende Schwachstelle hin. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität aus der Ferne ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie trivial ausnutzbar macht. Vertraulichkeit (Hoch): Der vmdir-Dienst speichert kritische Infrastrukturdaten, einschließlich SSO-Anmeldedaten, Zertifikate und Konfigurationsdaten für die gesamte vSphere-Umgebung. Unautorisierter Zugriff kann das komplette Authentifizierungs- und Autorisierungs-Framework offenlegen. Integrität (Hoch): Mit Zugriff auf den Verzeichnisdienst könnte ein Angreifer potenziell Authentifizierungseinträge ändern, Administratorkonten hinzufügen oder Vertrauensbeziehungen in der gesamten VMware-Infrastruktur verändern. Verfügbarkeit (Hoch): Die Kompromittierung des Verzeichnisdienstes könnte zu Dienstunterbrechungen in der gesamten vSphere-Umgebung führen. Der EPSS-Score von 94,36 % bestätigt nahezu sichere Ausnutzungsaktivität und unterstreicht die Dringlichkeit des Patchens dieser Schwachstelle.
Exploit-Reifegrad
CVE-2020-3952 wird durch seine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, was Angreifern ein einsatzbereites Authentifizierungsumgehungs-Tool bereitstellt. Der EPSS-Score von 94,36 % (99,96. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und platziert diese unter den am aktivsten angegriffenen VMware-Schwachstellen. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der verbindlichen operativen Direktive von CISA zu beheben.
Behebung
- Wenden Sie Herstellerpatches sofort an, wie von CISA KEV vorgeschrieben: Updates gemäß Herstelleranweisungen anwenden. Beziehen Sie sich auf VMware Security Advisory VMSA-2020-0006 für spezifische Patch-Informationen für vCenter Server 6.7.
- Überprüfen Sie, dass alle Instanzen von VMware vCenter Server 6.7 auf die neueste gepatchte Version aktualisiert wurden. Die Schwachstelle betrifft speziell vCenter Server 6.7-Installationen mit eingebettetem oder externem Platform Services Controller.
- Beschränken Sie den Netzwerkzugriff auf Port 389 (LDAP) des vCenter Servers durch Firewall-Regeln und Netzwerksegmentierung. Erlauben Sie nur Verbindungen von vertrauenswürdigen Verwaltungsnetzwerken und autorisierten Administratoren.
- Überwachen Sie vmdir- und vCenter-Server-Protokolle auf Kompromittierungsindikatoren, einschließlich unautorisierter LDAP-Abfragen, unerwarteter Verzeichnisdatenextraktion und verdächtiger authentifizierungsbezogener Aktivitäten auf Port 389.
- Implementieren Sie Authentifizierungsanforderungen für alle Verzeichnisdienst-Schnittstellen als langfristige Härtungsmaßnahme. Überprüfen und auditieren Sie Zugriffskontrollen auf dem Platform Services Controller, um sicherzustellen, dass alle kritischen Funktionen eine ordnungsgemäße Authentifizierung erfordern.
Technische Details
CVE-2020-3952 ist eine Schwachstelle zur Informationsoffenlegung im VMware Directory Service (vmdir), der mit VMware vCenter Server 6.7 als Teil des eingebetteten oder externen Platform Services Controllers (PSC) ausgeliefert wird. Die Grundursache ist eine fehlende Authentifizierungsschwäche (CWE-306), bei der die vmdir-LDAP-Schnittstelle auf Port 389 unter bestimmten Bedingungen Zugriffskontrollen nicht korrekt durchsetzt. Dies ermöglicht einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf den LDAP-Port, sensible Verzeichnisdaten abzufragen und zu extrahieren, einschließlich SSO-Anmeldedaten und Zertifikate, die die gesamte vSphere-Umgebung regeln. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass es sich um eine netzwerkzugängliche Schwachstelle mit maximalen Ausnutzbarkeitsmerkmalen handelt: geringe Komplexität, keine erforderlichen Privilegien und keine Benutzerinteraktion nötig, mit vollständiger Auswirkung auf alle drei Sicherheitsdimensionen.
Häufig gestellte Fragen
Wird CVE-2020-3952 aktiv ausgenutzt?
Ja. CVE-2020-3952 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,36 % (99,96. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Es besteht derzeit keine bekannte Verbindung zu Ransomware-Kampagnen.
Welche Produkte sind von CVE-2020-3952 betroffen?
CVE-2020-3952 betrifft speziell VMware vCenter Server Version 6.7 mit eingebettetem oder externem Platform Services Controller (PSC). Die betroffene Komponente ist der VMware Directory Service (vmdir), zugänglich über LDAP auf Port 389.
Wie behebe ich CVE-2020-3952?
Wenden Sie Updates gemäß Herstelleranweisungen an, wie in VMware Security Advisory VMSA-2020-0006 beschrieben. Wenn sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf Port 389 des vCenter Servers und überwachen Sie auf unautorisierte LDAP-Abfragen.
Wie schwerwiegend ist CVE-2020-3952?
CVE-2020-3952 hat einen CVSS-3.1-Score von 9,8 (KRITISCH). Die Schwachstelle ermöglicht die unauthentifizierte Extraktion sensibler Verzeichnisdaten aus dem VMware Directory Service. Der EPSS-Score von 94,36 % platziert sie im 99,96. Perzentil, was auf nahezu sichere Ausnutzung hinweist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.