CVE-2023-20887
Vmware Aria Operations for Networks Command Injection Vulnerability
Beschreibung
CVE-2023-20887 ist eine kritische Command-Injection-Schwachstelle in VMware Aria Operations for Networks (ehemals vRealize Network Insight). Die Sicherheitslücke ermöglicht es einem Angreifer mit Netzwerkzugang, über eine manipulierte Anfrage beliebige Befehle auf dem Zielsystem auszuführen und so eine vollständige Remote-Code-Ausführung zu erreichen. Mit einem CVSS-Score von 9.8 (Critical) ist CVE-2023-20887 als äußerst gefährlich einzustufen. Die CISA hat diese Command-Injection-Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen, und der EPSS-Score von 94,39 % weist auf eine nahezu sichere aktive Ausnutzung hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | aria operations for networks | >= 6.2.0, <= 6.10.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/173761/VMWare-Aria-Operations-For-Networks-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.vmware.com/security/advisories/VMSA-2023-0012.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-20887(US Government Resource)
Schwachstellentyp
CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
Bei CVE-2023-20887 liegt eine Command-Injection-Schwachstelle vor, bei der VMware Aria Operations for Networks spezielle Zeichen in Benutzereingaben nicht ordnungsgemäß neutralisiert, bevor diese in Systembefehle eingebettet werden. Dadurch kann ein Angreifer über Netzwerkzugang manipulierte Eingaben senden, die als Befehle auf dem zugrunde liegenden Betriebssystem ausgeführt werden.
Mehr erfahren: CWE-77 — Command Injection
Auswirkungsanalyse
CVE-2023-20887 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugriff erforderlich ist. Die Angriffskomplexität ist niedrig, es werden keine Berechtigungen benötigt und keine Benutzerinteraktion ist erforderlich — dies macht die Schwachstelle besonders kritisch, da sie vollständig unauthentifiziert ausnutzbar ist. Vertraulichkeit (Hoch): Angreifer können auf sämtliche Netzwerküberwachungsdaten zugreifen, einschließlich Netzwerktopologien, Verkehrsdaten und Konfigurationsinformationen, die in Aria Operations for Networks verwaltet werden. Integrität (Hoch): Durch die Befehlsausführung können Systemkonfigurationen verändert, Daten manipuliert und weitere Schadsoftware installiert werden. Verfügbarkeit (Hoch): Das Monitoring-System kann vollständig übernommen oder außer Betrieb gesetzt werden, was die Sichtbarkeit des gesamten Netzwerks beeinträchtigt. Mit einem CVSS-Score von 9.8 und einem EPSS-Score von 94,39 % ist die Wahrscheinlichkeit einer aktiven Ausnutzung extrem hoch.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-20887 über Packet Storm Security. Die CISA führt diese Schwachstelle als aktiv ausgenutzt im KEV-Katalog, was die reale Bedrohung bestätigt. Der EPSS-Score von 94,39 % (99. Perzentil) deutet auf eine nahezu sichere und wahrscheinlich weit verbreitete Ausnutzung hin. Die Kombination aus verfügbarem Exploit-Code, bestätigter aktiver Ausnutzung und fehlendem Authentifizierungserfordernis macht CVE-2023-20887 zu einer der am dringendsten zu behebenden Schwachstellen.
Behebung
- Herstelleranweisungen befolgen: Gemäß CISA-Vorgabe müssen Maßnahmen gemäß dem VMware-Sicherheitshinweis VMSA-2023-0012 umgesetzt werden. Die Behebungsfrist war der 13. Juli 2023.
- VMware Aria Operations for Networks aktualisieren: Installieren Sie die gepatchte Version gemäß den Anweisungen im VMware Security Advisory VMSA-2023-0012. Prüfen Sie, ob Ihre installierte Version von der Schwachstelle betroffen ist und spielen Sie den Patch unverzüglich ein.
- Netzwerkzugriff einschränken: Beschränken Sie den Zugriff auf die Aria Operations for Networks-Instanz auf vertrauenswürdige Netzwerke und IP-Bereiche. Implementieren Sie Firewall-Regeln, die den Zugang zur Management-Oberfläche auf autorisierte Administratoren beschränken.
- Auf Kompromittierung prüfen: Untersuchen Sie System- und Anwendungsprotokolle auf Anzeichen einer Ausnutzung, insbesondere ungewöhnliche Befehlsausführungen, nicht autorisierte Netzwerkverbindungen und verdächtige Prozesse. Nutzen Sie die verfügbaren IoC-Informationen aus der Security-Community.
- Eingabevalidierung und Härtung: Implementieren Sie zusätzliche Schutzschichten wie eine Web Application Firewall (WAF) vor der Aria Operations for Networks-Instanz und aktivieren Sie umfassende Protokollierung für forensische Analysen.
Technische Details
CVE-2023-20887 basiert auf einer Command-Injection-Schwachstelle (CWE-77) in VMware Aria Operations for Networks. Die Anwendung neutralisiert spezielle Zeichen in Benutzereingaben nicht ordnungsgemäß, bevor diese in Systembefehle eingebettet werden, wodurch ein Angreifer manipulierte Eingaben über das Netzwerk senden kann, die als Betriebssystembefehle ausgeführt werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt den maximal möglichen Angriffsvektor: netzwerkbasiert, niedrige Komplexität, keine Authentifizierung und keine Benutzerinteraktion erforderlich. Die Ausführung erfolgt im Kontext des Anwendungsprozesses, was je nach Konfiguration Root-Berechtigungen auf dem zugrunde liegenden System bedeuten kann. Da Aria Operations for Networks als zentrales Netzwerküberwachungstool fungiert, verschafft eine Kompromittierung dem Angreifer umfassende Einblicke in die Netzwerktopologie und potenziell Zugang zu weiteren kritischen Infrastrukturkomponenten.
Häufig gestellte Fragen
Wird CVE-2023-20887 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-20887 in den Known Exploited Vulnerabilities-Katalog aufgenommen, und öffentlicher Exploit-Code ist über Packet Storm Security verfügbar. Der EPSS-Score von 94,39 % deutet auf eine nahezu sichere aktive Ausnutzung hin. Ein Zusammenhang mit Ransomware ist derzeit als unbekannt eingestuft.
Welche Produkte sind von CVE-2023-20887 betroffen?
Betroffen ist VMware Aria Operations for Networks (ehemals vRealize Network Insight). Die Schwachstelle betrifft Versionen, die vor dem im VMSA-2023-0012 angegebenen Patch veröffentlicht wurden. Genaue Versionsangaben finden Sie im VMware Security Advisory.
Wie behebe ich CVE-2023-20887?
Installieren Sie den Patch gemäß VMware Security Advisory VMSA-2023-0012. Beschränken Sie zusätzlich den Netzwerkzugriff auf die Aria Operations for Networks-Instanz auf vertrauenswürdige IP-Bereiche. Prüfen Sie Ihre Systeme auf Anzeichen einer bereits erfolgten Kompromittierung.
Wie schwerwiegend ist CVE-2023-20887?
CVE-2023-20887 hat den maximalen CVSS-Score von 9.8 (Critical) und befindet sich im 99. EPSS-Perzentil mit einem Score von 94,39 %. Die Schwachstelle ermöglicht unauthentifizierte Remote-Code-Ausführung, und öffentlicher Exploit-Code ist bereits verfügbar, was die Dringlichkeit einer sofortigen Behebung maximiert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.