CVE-2023-20867
VMware Tools Authentication Bypass Vulnerability
Beschreibung
CVE-2023-20867 ist eine Schwachstelle in der Authentifizierungslogik von VMware Tools, die es einem Angreifer mit vollständiger Kontrolle über einen ESXi-Host ermöglicht, die Authentifizierung von Host-zu-Gast-Operationen zu umgehen. Durch diese fehlerhafte Authentifizierung (Improper Authentication) können Vertraulichkeit und Integrität der Gast-VMs beeinträchtigt werden. Obwohl der CVSS-Score mit 3.9 als niedrig eingestuft ist, hat die CISA CVE-2023-20867 in den Known Exploited Vulnerabilities-Katalog aufgenommen, was auf aktive Ausnutzung in realen Angriffsszenarien hinweist. Die Schwachstelle betrifft VMware Tools und ist auch auf Debian Linux und Fedora relevant, wo open-vm-tools eingesetzt wird.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | tools | >= 10.3.0, < 12.2.5 |
| debian | debian linux | 10.0; 11.0; 12.0 |
| fedoraproject | fedora | 37; 38; 39 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
Referenzen
- http://www.openwall.com/lists/oss-security/2023/10/16/11(Mailing List, Patch)
- http://www.openwall.com/lists/oss-security/2023/10/16/2(Mailing List, Patch)
- https://lists.debian.org/debian-lts-announce/2023/08/msg00020.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/NVKQ6Y2JFJRWPFOZUOTFO3H27BK5GGOG/(Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/TJNJMD67QIT6LXLKWSHFM47DCLRSMT6W/(Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/ZJM6HDRQYS74JA7YNKQBFH2XSZ52HEWH/(Mailing List, Release Notes)
- https://security.netapp.com/advisory/ntap-20230725-0001/(Third Party Advisory)
- https://www.debian.org/security/2023/dsa-5493(Mailing List, Third Party Advisory)
- https://www.vmware.com/security/advisories/VMSA-2023-0013.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-20867(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
Bei CVE-2023-20867 liegt eine fehlerhafte Authentifizierung vor, bei der VMware Tools die Identität des ESXi-Hosts bei Host-zu-Gast-Operationen nicht ordnungsgemäß überprüft. Ein Angreifer, der bereits einen ESXi-Host kompromittiert hat, kann diese Schwachstelle ausnutzen, um ohne gültige Authentifizierung auf Gast-VMs zuzugreifen und deren Daten zu lesen oder zu manipulieren.
Mehr erfahren: CWE-287 — Improper Authentication
Auswirkungsanalyse
CVE-2023-20867 erfordert einen lokalen Zugriff auf den ESXi-Host und setzt hohe Berechtigungen voraus — der Angreifer muss bereits den ESXi-Host vollständig kompromittiert haben. Die Angriffskomplexität ist hoch, da spezifische Voraussetzungen erfüllt sein müssen. Allerdings kann der Scope geändert werden, was bedeutet, dass die Auswirkungen über die verwundbare Komponente hinaus auf Gast-VMs übergreifen. Vertraulichkeit (Niedrig): Angreifer können eingeschränkt auf Daten innerhalb der Gast-VM zugreifen. Integrität (Niedrig): Es besteht die Möglichkeit, Daten in der Gast-VM in begrenztem Umfang zu manipulieren. Die Verfügbarkeit ist nicht betroffen. Trotz des niedrigen CVSS-Scores von 3.9 ist die Schwachstelle im Kontext gezielter Angriffe auf Virtualisierungsinfrastrukturen als ernst zu nehmen, da sie die Isolation zwischen Host und Gast untergräbt.
Exploit-Reifegrad
CVE-2023-20867 wird von der CISA als aktiv ausgenutzte Schwachstelle im KEV-Katalog geführt, was auf reale Angriffe gegen Virtualisierungsumgebungen hindeutet. In den öffentlichen Referenzen sind keine dedizierten Exploit-Codes verlinkt, jedoch deuten die Patches auf der oss-security-Mailingliste auf eine fundierte technische Analyse der Schwachstelle hin. Der EPSS-Score von 3,13 % zeigt eine moderate Ausnutzungswahrscheinlichkeit an, die zusammen mit der KEV-Aufnahme darauf hindeutet, dass die Schwachstelle gezielt in fortgeschrittenen Angriffen auf Virtualisierungsinfrastrukturen eingesetzt wird.
Behebung
- Herstelleranweisungen befolgen: Gemäß CISA-Vorgabe müssen Maßnahmen gemäß dem VMware-Sicherheitshinweis VMSA-2023-0013 umgesetzt werden. Die Behebungsfrist war der 14. Juli 2023.
- VMware Tools aktualisieren: Installieren Sie die gepatchte Version von VMware Tools gemäß den Anweisungen im VMware Security Advisory VMSA-2023-0013. Auf Debian-Systemen ist open-vm-tools gemäß DSA-5493 zu aktualisieren, auf Fedora-Systemen über die entsprechenden Paketaktualisierungen.
- ESXi-Host-Sicherheit verstärken: Da die Schwachstelle einen bereits kompromittierten ESXi-Host voraussetzt, ist die Absicherung der Hypervisor-Ebene entscheidend. Implementieren Sie Netzwerksegmentierung, beschränken Sie den Zugriff auf ESXi-Management-Interfaces und aktivieren Sie Lockdown-Mode.
- Gast-VM-Protokolle überwachen: Prüfen Sie Gast-VM-Protokolle und vSphere-Audit-Logs auf ungewöhnliche Host-zu-Gast-Operationen, die auf eine Ausnutzung dieser Schwachstelle hindeuten könnten.
- Authentifizierungsmechanismen härten: Implementieren Sie Multi-Faktor-Authentifizierung für den Zugriff auf ESXi-Hosts und überprüfen Sie die Konfiguration der SAML-Token-Validierung in der Virtualisierungsumgebung.
Technische Details
CVE-2023-20867 beruht auf einer fehlerhaften Authentifizierung (CWE-287) in VMware Tools bei der Verarbeitung von Host-zu-Gast-Operationen. Wenn ein ESXi-Host vollständig kompromittiert ist, kann der Angreifer VMware Tools dazu zwingen, die Authentifizierung für Operationen zwischen Host und Gast zu umgehen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N zeigt, dass der Angriff lokalen Zugriff und hohe Berechtigungen auf dem ESXi-Host erfordert, die Angriffskomplexität hoch ist und keine Benutzerinteraktion nötig ist. Der geänderte Scope (S:C) ist hier besonders relevant, da die Kompromittierung des Hosts auf die isolierte Gast-VM übergreift — ein Verstoß gegen das fundamentale Sicherheitsprinzip der VM-Isolation. Diese Schwachstelle wurde im Zusammenhang mit fortgeschrittenen Bedrohungsakteuren beobachtet, die Virtualisierungsumgebungen als Einstiegspunkt für laterale Bewegung in Unternehmensnetzwerken nutzen.
Häufig gestellte Fragen
Wird CVE-2023-20867 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-20867 in den Known Exploited Vulnerabilities-Katalog aufgenommen, was auf aktive Ausnutzung in realen Angriffsszenarien hindeutet. Der EPSS-Score von 3,13 % zeigt eine moderate Ausnutzungswahrscheinlichkeit an. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-20867 betroffen?
Betroffen sind VMware Tools sowie die open-vm-tools-Pakete auf Debian Linux und Fedora. Die Schwachstelle betrifft die Host-zu-Gast-Kommunikation in VMware-Virtualisierungsumgebungen und erfordert einen bereits kompromittierten ESXi-Host.
Wie behebe ich CVE-2023-20867?
Installieren Sie die gepatchte Version von VMware Tools gemäß VMSA-2023-0013. Auf Debian-Systemen aktualisieren Sie open-vm-tools gemäß DSA-5493, auf Fedora über die offiziellen Paketquellen. Zusätzlich sollte die Sicherheit des ESXi-Hosts selbst verstärkt werden.
Wie schwerwiegend ist CVE-2023-20867?
CVE-2023-20867 hat einen CVSS-Score von 3.9 (Low), was die hohen Voraussetzungen für eine Ausnutzung widerspiegelt. Trotz des niedrigen Scores ist die Schwachstelle im Kontext gezielter Angriffe auf Virtualisierungsinfrastrukturen ernst zu nehmen, da sie die VM-Isolation untergraben kann. Die CISA-Aufnahme in den KEV-Katalog bestätigt die reale Bedrohung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.