CVE-2022-22948
VMware vCenter Server Incorrect Default File Permissions Vulnerability
Beschreibung
CVE-2022-22948 ist eine Information-Disclosure-Schwachstelle in VMware vCenter Server, die auf fehlerhafte Dateiberechtigungen zurueckzufuehren ist. Ein Angreifer mit nicht-administrativem Zugang zum vCenter Server kann diese Schwachstelle ausnutzen, um Zugriff auf sensible Informationen zu erlangen. Die Schwachstelle wird mit einem CVSS-Score von 6.5 (MEDIUM) bewertet.
Die CISA hat CVE-2022-22948 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-08-07. Der EPSS-Score von 26,50 % (96,2. Perzentil) weist auf eine erhebliche Ausnutzungswahrscheinlichkeit hin. Betroffen sind vCenter Server Versionen 6.5, 6.7 und 7.0 sowie VMware Cloud Foundation Versionen 3.x und 4.x.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 3.0, < 3.11; >= 4.0, < 4.4.1 |
| vmware | vcenter server | 6.5; 6.7; 7.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2022-0009.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22948(US Government Resource)
Schwachstellentyp
Improper Permission of Files
CVE-2022-22948 basiert auf fehlerhaften Dateiberechtigungen im vCenter Server, die es Benutzern mit niedrigen Privilegien ermoeglicht, auf Dateien zuzugreifen, die sensible Informationen enthalten. Diese Art von Schwachstelle faellt in den Bereich von CWE-276 (Incorrect Default Permissions), bei dem Dateien oder Verzeichnisse mit zu weitreichenden Berechtigungen erstellt werden.
In virtualisierten Umgebungen wie vCenter Server koennen fehlerhafte Dateiberechtigungen besonders gravierende Folgen haben, da der Server als zentrale Verwaltungsinstanz Zugriff auf Konfigurationen, Zugangsdaten und Informationen aller verwalteten virtuellen Maschinen und ESXi-Hosts besitzt.
Weitere Informationen: CWE-276 -- Incorrect Default Permissions
Auswirkungsanalyse
Die Auswirkungen von CVE-2022-22948 konzentrieren sich auf die Offenlegung sensibler Informationen in VMware vCenter Server-Umgebungen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N beschreibt eine Schwachstelle mit hohem Vertraulichkeitsimpact bei niedrigen Zugangsprivilegien. Vertraulichkeit (Hoch): Ein authentifizierter Benutzer mit nicht-administrativen Rechten kann auf sensible Dateien zugreifen, die normalerweise nur Administratoren vorbehalten sind. Dies kann Datenbank-Zugangsdaten, Zertifikate, Konfigurationsdateien und Informationen ueber die gesamte virtuelle Infrastruktur umfassen. Integritaet (Keine): Die Schwachstelle ermoeglicht keinen direkten Schreibzugriff. Verfuegbarkeit (Keine): Die Verfuegbarkeit des Systems wird nicht beeintraechtigt. Der EPSS-Score von 26,50 % (96,2. Perzentil) bestaetigt die aktive Ausnutzung. Obwohl der direkte Impact auf Vertraulichkeit beschraenkt ist, koennen die offengelegten Informationen als Sprungbrett fuer weitergehende Angriffe dienen. Administratorkennwoerter oder Zertifikate aus dem vCenter Server koennen zur vollstaendigen Uebernahme der virtualisierten Infrastruktur fuehren.
Exploit-Reifegrad
CVE-2022-22948 weist eine bestaetigt hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-08-07 in den KEV-Katalog aufgenommen. Der EPSS-Score von 26,50 % (96,2. Perzentil) liegt deutlich ueber dem Durchschnitt und zeigt signifikante Ausnutzungsaktivitaet. Der Ransomware-Status ist als Unknown eingestuft. Das VMware Security Advisory VMSA-2022-0009 dokumentiert die Schwachstelle und stellt Patch-Informationen bereit. Da die Schwachstelle bereits authentifizierten Zugang erfordert, wird sie haeufig als Teil von mehrstufigen Angriffsketten eingesetzt, bei denen ein initialer Zugang ueber andere Schwachstellen oder kompromittierte Zugangsdaten erlangt wurde. Die Kombination mit anderen vCenter-Schwachstellen ermoeglicht es Angreifern, von niedrigen Privilegien zur vollstaendigen Infrastruktur-Kontrolle aufzusteigen.
Behebung
-
vCenter Server umgehend aktualisieren: Installieren Sie die von VMware bereitgestellten Sicherheitsupdates fuer vCenter Server 6.5, 6.7 und 7.0. Konsultieren Sie das VMware Security Advisory VMSA-2022-0009 fuer die spezifischen gepatchten Versionen.
-
VMware Cloud Foundation aktualisieren: Wenn Sie VMware Cloud Foundation einsetzen, aktualisieren Sie auf Version 3.11 oder hoeher (fuer 3.x) bzw. 4.4.1 oder hoeher (fuer 4.x). Beachten Sie die VMware-Kompatibilitaetsmatrix fuer die korrekte Update-Reihenfolge.
-
Dateiberechtigungen manuell pruefen: Ueberpruefen Sie die Dateiberechtigungen auf dem vCenter Server, insbesondere fuer Konfigurationsdateien und Datenbank-Zugangsdaten. Stellen Sie sicher, dass nur autorisierte Administratoren Lesezugriff auf sensible Dateien haben.
-
Zugangsdaten rotieren: Aendern Sie alle im vCenter Server gespeicherten Zugangsdaten, einschliesslich Datenbank-Passwoerter, SSO-Administrator-Passwoerter und Service-Account-Zugangsdaten. Wenn Zertifikate exponiert waren, stellen Sie neue Zertifikate aus.
-
Least-Privilege-Prinzip durchsetzen: Ueberpruefen Sie alle Benutzerkonten auf dem vCenter Server und entfernen Sie unnoetige Berechtigungen. Implementieren Sie eine strikte Rollentrennung und stellen Sie sicher, dass Benutzer nur die minimal erforderlichen Rechte besitzen.
Technische Details
CVE-2022-22948 betrifft VMware vCenter Server in den Versionen 6.5, 6.7 und 7.0 sowie VMware Cloud Foundation ab Version 3.0 bis 3.11 und 4.0 bis 4.4.1. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N beschreibt eine Schwachstelle mit hohem Vertraulichkeitsimpact, jedoch ohne Auswirkungen auf Integritaet oder Verfuegbarkeit. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, ueber die vCenter Server-Verwaltungsoberflaeche oder API. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen fuer die Ausnutzung. Berechtigungen (Niedrig): Ein gueltiger Benutzeraccount mit nicht-administrativen Rechten ist erforderlich. Benutzerinteraktion (Keine): Der Angriff kann ohne weiteres Zutun eines Benutzers durchgefuehrt werden. Der Angriffsmechanismus basiert auf fehlerhaften Dateiberechtigungen (Improper Permission of Files) auf dem vCenter Server-System. Bestimmte Dateien, die sensible Informationen enthalten, sind mit zu weitreichenden Leseberechtigungen konfiguriert. Ein authentifizierter Benutzer mit niedrigen Privilegien kann diese Dateien lesen und dadurch Zugang zu Informationen erlangen, die normalerweise nur Administratoren vorbehalten sind. Die offengelegten Informationen koennen fuer Privilegieneskalation und laterale Bewegung in der virtualisierten Infrastruktur verwendet werden.
Häufig gestellte Fragen
Welche sensiblen Informationen koennen offengelegt werden?
Die Schwachstelle ermoeglicht den Zugriff auf Dateien mit fehlerhaften Berechtigungen auf dem vCenter Server. Dies kann Datenbank-Zugangsdaten, Konfigurationsdateien, Zertifikate und Informationen ueber die verwaltete virtuelle Infrastruktur umfassen. Die genauen offengelegten Informationen haengen von der spezifischen vCenter-Konfiguration ab.
Ist ein Angriff ohne bestehenden Zugang moeglich?
Nein, CVE-2022-22948 erfordert einen authentifizierten Benutzeraccount mit niedrigen Privilegien auf dem vCenter Server. Die Schwachstelle wird jedoch haeufig in Kombination mit anderen Schwachstellen eingesetzt, die den initialen Zugang ermoeglicht. In Angriffsszenarien dient sie als Eskalationspunkt nach einem ersten Einbruch.
Sind auch ESXi-Hosts direkt betroffen?
Die Schwachstelle betrifft direkt den vCenter Server, nicht einzelne ESXi-Hosts. Da der vCenter Server jedoch die zentrale Verwaltungsinstanz fuer alle verbundenen ESXi-Hosts ist, koennen die offengelegten Informationen fuer Angriffe auf die gesamte virtualisierte Umgebung verwendet werden.
Ist VMware Cloud Foundation ebenfalls betroffen?
Ja, VMware Cloud Foundation Versionen 3.0 bis vor 3.11 und 4.0 bis vor 4.4.1 sind betroffen, da Cloud Foundation auf vCenter Server basiert. Aktualisieren Sie auf die gepatchten Versionen gemaess dem VMware Security Advisory.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.