CVE-2020-4006
Multiple VMware Products Command Injection Vulnerability
Beschreibung
CVE-2020-4006 ist eine kritische OS-Command-Injection-Schwachstelle, die mehrere VMware-Produkte betrifft, darunter Workspace One Access, Access Connector, Identity Manager und Identity Manager Connector. Ein Angreifer mit Netzwerkzugriff auf den administrativen Konfigurator auf Port 8443 und einem gültigen Administratorpasswort kann beliebige Betriebssystembefehle einschleusen, die mit uneingeschränkten Privilegien auf dem zugrundeliegenden System ausgeführt werden. Diese CVE-2020-4006-Schwachstelle wurde in den CISA-Katalog bekannter ausgenutzter Schwachstellen aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem CVSS-Score von 9,1 (KRITISCH) und einem EPSS-Score von 12,83 % (93,9. Perzentil) stellt diese Command-Injection-Schwachstelle eine erhebliche Bedrohung für Organisationen dar, die betroffene VMware-Deployments betreiben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | identity manager | 3.3.1; 3.3.2; 3.3.3 |
| vmware | identity manager connector | 3.3.1; 3.3.2; 3.3.3 |
| vmware | one access | 20.01; 20.10 |
| vmware | cloud foundation | 4.0; 4.0.1 |
| vmware | vrealize suite lifecycle manager | >= 8.0, <= 8.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2020-0027.html(Vendor Advisory)
- https://www.kb.cert.org/vuls/id/724367(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-4006(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (‘OS Command Injection’)
OS Command Injection in VMware Workspace One Access und Identity Manager tritt auf, wenn der administrative Konfigurator Spezialelemente in benutzerseitigen Eingaben nicht ordnungsgemäß neutralisiert, bevor sie in Betriebssystembefehle eingebunden werden. Ein authentifizierter Angreifer mit Administrator-Privilegien kann diese Schwachstelle ausnutzen, um Shell-Metazeichen einzuschleusen und beliebige Befehle mit den gleichen Privilegien wie die verwundbare Anwendung auszuführen, was zu einer vollständigen Systemkompromittierung führen kann.
Mehr erfahren: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl (‘OS Command Injection’)
Auswirkungsanalyse
CVE-2020-4006 weist einen CVSS-3.1-Score von 9,1 (KRITISCH) auf, der das schwerwiegende Risiko dieser Schwachstelle widerspiegelt. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar, mit niedriger Angriffskomplexität, erfordert jedoch hohe Privilegien (ein gültiges Konfigurator-Administratorpasswort). Keine Benutzerinteraktion ist für die Ausnutzung erforderlich, und der Scope ist verändert, was bedeutet, dass eine erfolgreiche Ausnutzung Ressourcen über die verwundbare VMware-Komponente hinaus beeinträchtigen kann. Vertraulichkeit (Hoch): Ein Angreifer kann auf sensible Daten im gesamten System zugreifen. Integrität (Hoch): Beliebige Befehlsausführung ermöglicht die Modifikation von Systemdateien und Konfigurationen. Verfügbarkeit (Hoch): Der Angreifer kann Dienste stören oder Systeme vollständig herunterfahren. Der EPSS-Score von 12,83 % (93,9. Perzentil) deutet auf eine hohe Wahrscheinlichkeit aktiver Ausnutzung hin und platziert diese Schwachstelle deutlich über der großen Mehrheit bekannter CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2020-4006 in freier Wildbahn bestätigt, indem die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen wurde, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 12,83 % (93,9. Perzentil) weist auf eine hohe Wahrscheinlichkeit fortlaufender Ausnutzungsaktivität hin. Obwohl kein öffentlicher Proof-of-Concept-Exploit in den verfügbaren Referenzen identifiziert wurde, machen die bestätigte aktive Ausnutzung und die relativ niedrige Hürde für authentifizierte Angreifer (nur ein gültiges Konfigurator-Passwort erforderlich) dies zu einem vorrangigen Behebungsziel. Organisationen sollten davon ausgehen, dass fähige Bedrohungsakteure diese Schwachstelle in VMware-Identity-Management-Infrastruktur aktiv angreifen.
Behebung
- Vendor-Patches sofort anwenden gemäß CISA-KEV-Anforderung: Updates gemäß Herstelleranweisungen einspielen. VMware hat das Security Advisory VMSA-2020-0027 mit Patches für alle betroffenen Produkte veröffentlicht.
- Alle betroffenen VMware-Produkte auf gepatchte Versionen aktualisieren: Identity Manager 3.3.1/3.3.2/3.3.3, Identity Manager Connector 3.3.1/3.3.2/3.3.3, One Access 20.01/20.10, Cloud Foundation 4.0/4.0.1 und vRealize Suite Lifecycle Manager 8.0–8.2 sollten gemäß dem Vendor Advisory aktualisiert werden.
- Netzwerkzugriff auf den administrativen Konfigurator auf Port 8443 mittels Firewall-Regeln und Netzwerksegmentierung einschränken. Nur autorisierte Administratoren aus vertrauenswürdigen Netzwerksegmenten sollten diese Schnittstelle erreichen können.
- Alle Konfigurator-Administratoranmeldedaten überprüfen und rotieren. Starke Passwortrichtlinien und Multi-Faktor-Authentifizierung implementieren, wo unterstützt, um das Risiko einer Kompromittierung der Anmeldedaten zu reduzieren.
- Systemprotokolle auf verdächtige Befehlsausführungsmuster, unerwartete Prozesserstellung und unbefugten Zugriff auf die Konfigurator-Schnittstelle auf Port 8443 überwachen. Threat Hunting durchführen, um potenzielle frühere Ausnutzung zu identifizieren.
Technische Details
CVE-2020-4006 nutzt eine OS-Command-Injection-Schwachstelle (CWE-78) in der administrativen Konfigurator-Komponente von VMware Workspace One Access, Identity Manager und verwandten Connector-Produkten aus. Der Konfigurator, der auf Port 8443 erreichbar ist, versagt bei der ordnungsgemäßen Bereinigung benutzerseitiger Eingaben, bevor diese an Betriebssystem-Shell-Befehle übergeben werden. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) zeigt, dass der Angriff zwar hohe Privilegien erfordert (ein gültiges Konfigurator-Admin-Passwort), aber aus der Ferne mit niedriger Komplexität und ohne Benutzerinteraktion ausgeführt werden kann. Die Scope-Änderung (S:C) ist besonders bedeutsam, da die eingeschleusten Befehle das zugrundeliegende Betriebssystem und alle anderen auf demselben Host laufenden Dienste beeinträchtigen können, wodurch die Auswirkung über die VMware-Anwendung selbst hinausgeht. Die Befehle werden mit uneingeschränkten Privilegien auf dem zugrundeliegenden Betriebssystem ausgeführt, was dem Angreifer volle Kontrolle über den kompromittierten Host gibt.
Häufig gestellte Fragen
Wird CVE-2020-4006 aktiv ausgenutzt?
Ja. CVE-2020-4006 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet, was aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 12,83 % (93,9. Perzentil) deutet zusätzlich auf eine hohe Ausnutzungswahrscheinlichkeit hin. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 zu beheben.
Welche Produkte sind von CVE-2020-4006 betroffen?
CVE-2020-4006 betrifft VMware Identity Manager (Versionen 3.3.1, 3.3.2, 3.3.3), VMware Identity Manager Connector (Versionen 3.3.1, 3.3.2, 3.3.3), VMware One Access (Versionen 20.01, 20.10), VMware Cloud Foundation (Versionen 4.0, 4.0.1) und VMware vRealize Suite Lifecycle Manager (Versionen 8.0 bis 8.2).
Wie behebe ich CVE-2020-4006?
Wenden Sie die im VMware Security Advisory VMSA-2020-0027 bereitgestellten Patches für alle betroffenen Produkte an. Als Zwischenübergangsmaßnahme schränken Sie den Netzwerkzugriff auf den administrativen Konfigurator auf Port 8443 ein und rotieren Sie die Administratoranmeldedaten. Detaillierte Schritte finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2020-4006?
CVE-2020-4006 hat einen CVSS-3.1-Score von 9,1 (KRITISCH). Die Schwachstelle ermöglicht authentifizierte Remote-Command-Injection mit uneingeschränkten Systemprivilegien. Mit einem EPSS-Score im 93,9. Perzentil gehört sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.