CVE-2020-3992
VMware ESXi OpenSLP Use-After-Free Vulnerability
Beschreibung
CVE-2020-3992 ist eine kritische Use-After-Free-Schwachstelle in der OpenSLP-Implementierung von VMware ESXi. Die Schwachstelle ermöglicht es einem bösartigen Akteur im Management-Netzwerk mit Zugriff auf Port 427 eines ESXi-Hosts, eine Use-After-Free-Bedingung im OpenSLP-Dienst auszulösen, die zu Remote Code Execution führt. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt, einschließlich bekannter Verwendung in Ransomware-Kampagnen. Mit einem EPSS-Score von 85,76 % (99,37. Perzentile) hat diese VMware ESXi-Schwachstelle eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 3.0, < 3.10.1.2; >= 4.0, < 4.1.0.1 |
| vmware | esxi | 6.5; 6.7; 7.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2020-0023.html(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-20-1377/(Third Party Advisory, VDB Entry)
- https://www.zerodayinitiative.com/advisories/ZDI-20-1385/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3992(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
Verwendung nach Freigabe (Use After Free, UAF) ist eine Schwachstelle, die auftritt, wenn Software einen Pointer weiterhin verwendet, nachdem der Speicher, auf den er verweist, freigegeben wurde. Im Fall von CVE-2020-3992 enthält der OpenSLP-Dienst in VMware ESXi eine Use-After-Free-Bedingung, die von einem Angreifer mit Management-Netzwerkzugriff auf Port 427 ausgelöst werden kann. Wenn der hängende Pointer dereferenziert wird, kann der Angreifer den freigegebenen Speicher manipulieren, um die Kontrolle über den Ausführungsfluss zu erlangen und Remote Code Execution auf dem ESXi-Host zu erreichen.
Mehr erfahren: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2020-3992 hat einen CVSS 3.1-Score von 9,8 (CRITICAL), die höchste praktische Schweregradbewertung. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar mit geringer Angriffskomplexität, erfordert keine Authentifizierung und benötigt keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen VMware ESXi-Hosts und gewährt dem Angreifer potenziell die Kontrolle über alle virtuellen Maschinen und Daten auf dem Hypervisor. Der EPSS-Score von 85,76 % (99,37. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen verwendet, was sie zu einer besonders dringenden Bedrohung für Organisationen mit VMware ESXi macht, da Angreifer Dateien virtueller Maschinen verschlüsseln und Lösegeldzahlungen fordern können.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2020-3992 durch Aufnahme in den KEV-Katalog bestätigt, und diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen gegen VMware ESXi-Umgebungen eingesetzt. Der EPSS-Score von 85,76 % (99,37. Perzentile) zeigt sehr hohe Ausnutzungsaktivität an. Third-Party-Advisories sind von der Zero Day Initiative (ZDI-20-1377) und ZDI-20-1385 verfügbar, was auf koordinierte Offenlegung und detaillierte Schwachstellenanalyse hinweist. Die bekannte Ransomware-Nutzung zeigt, dass waffenfähige Exploits aktiv von Bedrohungsakteuren gegen ESXi-Infrastruktur eingesetzt werden. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-05-03 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie die VMware-Sicherheitspatches aus VMSA-2020-0023 für ESXi 7.0 (vor ESXi_7.0.1-0.0.16850804), ESXi 6.7 (vor ESXi670-202010401-SG) und ESXi 6.5 (vor ESXi650-202010401-SG).
- Überprüfen Sie, dass alle VMware ESXi-Hosts (Versionen 6.5, 6.7, 7.0.0) und VMware Cloud Foundation-Deployments (Versionen 3.x vor 3.10.1.2 und 4.x vor 4.1.0.1) auf gepatchte Versionen aktualisiert wurden.
- Blockieren Sie den Netzwerkzugriff auf Port 427 (SLP) auf ESXi-Hosts mittels Firewall-Regeln. Deaktivieren Sie den SLP-Dienst vollständig auf ESXi-Hosts, wenn die Service Location Protocol-Funktionalität für Ihre Umgebung nicht benötigt wird.
- Überwachen Sie ESXi-Host-Protokolle auf Kompromittierungsindikatoren, einschließlich ungewöhnlichen SLP-Dienstverhaltens, unerwarteter Prozessausführung, Anzeichen von Ransomware-Aktivität wie VM-Dateiverschlüsselung und unautorisiertem Datastore-Zugriff.
- Implementieren Sie strikte Netzwerksegmentierung zur Isolierung von ESXi-Management-Interfaces und stellen Sie sicher, dass nur autorisierte Administrator-Workstations Port 427 und andere Management-Ports auf ESXi-Hosts erreichen können.
Technische Details
CVE-2020-3992 ist eine Use-After-Free-Schwachstelle in der OpenSLP-Implementierung innerhalb von VMware ESXi. Der Fehler tritt im OpenSLP-Dienst auf, der auf Port 427 lauscht, wo Speicher, der freigegeben wurde, anschließend über einen hängenden Pointer referenziert wird. Ein Angreifer mit Netzwerkzugriff auf das Management-Netzwerk kann speziell konstruierte SLP-Anfragen senden, die diese Use-After-Free-Bedingung auslösen. Durch sorgfältige Manipulation von Heap-Allokationen zur Kontrolle des Inhalts der freigegebenen Speicherregion kann der Angreifer den Ausführungsfluss umleiten, wenn der veraltete Pointer dereferenziert wird, und Remote Code Execution auf dem ESXi-Host erreichen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Schwachstelle netzwerkzugänglich, trivial ausnutzbar ist und weder Authentifizierung noch Benutzerinteraktion erfordert, was zu einer vollständigen Kompromittierung des Hypervisors führt.
Häufig gestellte Fragen
Wird CVE-2020-3992 aktiv ausgenutzt?
Ja. CVE-2020-3992 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen gegen VMware ESXi-Umgebungen eingesetzt. Der EPSS-Score von 85,76 % (99,37. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an.
Welche Produkte sind von CVE-2020-3992 betroffen?
CVE-2020-3992 betrifft VMware ESXi Versionen 6.5, 6.7 und 7.0.0 vor den jeweiligen Sicherheitspatches. VMware Cloud Foundation Versionen 3.x vor 3.10.1.2 und 4.x vor 4.1.0.1 sind ebenfalls betroffen, da sie verwundbare ESXi-Versionen enthalten.
Wie behebe ich CVE-2020-3992?
Apply updates per vendor instructions aus dem VMware Security Advisory VMSA-2020-0023. Aktualisieren Sie ESXi 7.0 auf ESXi_7.0.1-0.0.16850804 oder neuer, ESXi 6.7 auf ESXi670-202010401-SG oder neuer und ESXi 6.5 auf ESXi650-202010401-SG oder neuer. Als sofortige Mitigation blockieren Sie Port 427 und deaktivieren Sie den SLP-Dienst auf ESXi-Hosts.
Wie schwerwiegend ist CVE-2020-3992?
CVE-2020-3992 hat einen CVSS 3.1-Score von 9,8 (CRITICAL). Dies ist eine Schwachstelle maximalen Schweregrades mit bestätigter Ransomware-Nutzung, sehr hoher Ausnutzungswahrscheinlichkeit (EPSS 85,76 %) und dem Potenzial, gesamte VMware ESXi-Hosts einschließlich aller gehosteten virtuellen Maschinen und Datastores zu kompromittieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.