CVE-2023-34048
VMware vCenter Server Out-of-Bounds Write Vulnerability
Beschreibung
CVE-2023-34048 ist eine kritische Out-of-Bounds-Write-Schwachstelle in VMware vCenter Server, die im Rahmen der Implementierung des DCERPC-Protokolls auftritt. Ein Angreifer mit Netzwerkzugang zu einem betroffenen vCenter Server kann die Schwachstelle ausnutzen, um potenziell beliebigen Code auf dem System auszuführen (Remote Code Execution). Die Schwachstelle wird mit einem CVSS-Score von 9,8 (CRITICAL) bewertet und ist ohne Authentifizierung und Benutzerinteraktion ausnutzbar. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und öffentliche Exploits sind bekannt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | vcenter server | >= 4.0, <= 5.5; 7.0; 8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.vmware.com/security/advisories/VMSA-2023-0023.html(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/understanding-cve-2023-34048-a-zero-day-out-of-bound-write-in-vcenter-server(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-34048(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-Bounds Write
CVE-2023-34048 ist der Schwachstellenklasse CWE-787: Out-of-Bounds Write zugeordnet. Eine Out-of-Bounds-Write-Schwachstelle entsteht, wenn ein Programm Daten an eine Speicheradresse schreibt, die außerhalb des vorgesehenen Puffers liegt. Dies kann zur Korruption benachbarter Speicherbereiche führen, was unter kontrollierten Bedingungen zur Ausführung beliebigen Codes genutzt werden kann.
Im Kontext von CVE-2023-34048 befindet sich die Schwachstelle in der DCERPC-Protokollimplementierung von VMware vCenter Server. Durch eine speziell gestaltete Netzwerkanfrage kann ein Angreifer einen Out-of-Bounds-Write-Vorgang auslösen, der zur Kompromittierung des vCenter-Prozesses und potenziell zur Remote Code Execution führt. Da vCenter Server ohne Authentifizierung erreichbar ist, ist die Schwachstelle besonders gefährlich.
Auswirkungsanalyse
Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung von CVE-2023-34048 ermöglicht einem Angreifer die vollständige Kompromittierung von VMware vCenter Server. Da vCenter die gesamte virtuelle Infrastruktur einer Organisation verwaltet, kann ein Angreifer auf sensitive Konfigurationsdaten, Zugangsdaten und Informationen über alle verwalteten virtuellen Maschinen zugreifen.
Integrität (Hoch): Remote Code Execution auf vCenter Server gibt einem Angreifer volle administrative Kontrolle über die Virtualisierungsinfrastruktur. Dies ermöglicht die Manipulation, Erstellung oder Löschung virtueller Maschinen sowie die Installation von Backdoors und Persistenzmechanismen.
Verfügbarkeit (Hoch): Ein Angreifer kann den vCenter-Dienst komplett zum Erliegen bringen, was den Ausfall der gesamten verwalteten virtuellen Infrastruktur zur Folge haben kann. Im schlimmsten Fall kann dies zur vollständigen Betriebsunterbrechung der abhängigen IT-Dienste führen.
VMware vCenter Server ist in Unternehmensumgebungen häufig ein hochprivilegierter, zentraler Verwaltungsknoten. Eine erfolgreiche Kompromittierung entspricht daher praktisch dem Verlust der gesamten virtualisierten Unternehmensinfrastruktur.
Exploit-Reifegrad
CVE-2023-34048 weist eine sehr hohe Ausnutzungsreife auf. Der EPSS-Score liegt bei 93,07 % (Perzentile: 99,78 %), was auf eine extrem hohe Wahrscheinlichkeit aktiver Ausnutzung hindeutet. Die Schwachstelle ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 12. Februar 2024 gelistet; der Ransomware-Status ist als "Unbekannt" klassifiziert.
VMware hat das Security Advisory VMSA-2023-0023 veröffentlicht. Öffentliche Exploit-Dokumentation, einschließlich einer technischen Analyse der Schwachstelle, ist verfügbar. Die Tatsache, dass die Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion über das Netzwerk ausnutzbar ist (Attack Complexity: Low), macht sie zu einem hochwertigen Ziel für automatisierte Massenangriffe auf exponierte vCenter-Instanzen. Sofortiger Patch-Einsatz ist zwingend erforderlich.
Behebung
- VMware-Patches einspielen: Sofortiges Einspielen des von VMware im Security Advisory VMSA-2023-0023 bereitgestellten Patches auf alle betroffenen vCenter Server-Instanzen.
- Herstelleradvisory befolgen: Das offizielle VMware Security Advisory (vmware.com/security/advisories/VMSA-2023-0023.html) konsultieren und alle empfohlenen Mitigationsschritte umsetzen.
- Netzwerkzugriff einschränken: Zugriff auf den vCenter Server auf autorisierte Management-Netzwerke und -hosts beschränken; vCenter niemals direkt aus dem Internet erreichbar machen.
- Firewall-Regeln prüfen: Eingehenden DCERPC-Datenverkehr auf dem vCenter-Port filtern und auf vertrauenswürdige Quellen beschränken.
- Logs auf Kompromittierungshinweise prüfen: vCenter-Logs und ESXi-Hosts auf ungewöhnliche Aktivitäten, unerklärte administrative Aktionen oder Anzeichen einer Ausnutzung untersuchen.
- Nicht patchbare Systeme außer Betrieb nehmen: Wenn Patches nicht sofort angewendet werden können, gemäß CISA-Empfehlung die betroffenen Systeme offline nehmen oder von kritischen Netzwerken isolieren.
- Zugangsdaten rotieren: Nach Bestätigung einer möglichen Kompromittierung alle vCenter- und ESXi-Zugangsdaten sowie verbundene Service-Accounts zurücksetzen.
Technische Details
Technischer Hintergrund: CVE-2023-34048 ist eine Out-of-Bounds-Write-Schwachstelle (CWE-787) in der Implementierung des DCERPC-Protokolls (Distributed Computing Environment/Remote Procedure Call) in VMware vCenter Server. DCERPC ist ein Protokoll für Remote-Procedure-Calls in verteilten Systemen, das in vCenter für die Kommunikation zwischen Komponenten eingesetzt wird.
Ausnutzungsmechanismus: Durch eine speziell gestaltete DCERPC-Netzwerkanfrage kann ein Angreifer einen Schreibvorgang ausserhalb des vorgesehenen Puffers auslösen. Der Out-of-Bounds-Write korrumpiert benachbarte Speicherbereiche im vCenter-Prozess. Unter kontrollierten Umständen kann dieser Speicherkorruptionsfehler zur Umleitung des Kontrollflusses und damit zur Ausführung beliebigen Codes im Kontext des vCenter-Prozesses genutzt werden.
Voraussetzungen: Die Ausnutzung erfordert lediglich Netzwerkzugang zum vCenter Server – keine Authentifizierung, keine Benutzerinteraktion und eine niedrige Angriffskomplexität. Dies macht die Schwachstelle zu einem besonders kritischen Angriffsziel in exponierten Netzwerkumgebungen.
Betroffene Systeme: Ausschließlich VMware vCenter Server ist betroffen. VMware hat im Security Advisory VMSA-2023-0023 spezifische Patch-Versionen für die betroffenen Releases bereitgestellt.
Häufig gestellte Fragen
Wird CVE-2023-34048 aktiv ausgenutzt?
Ja, CVE-2023-34048 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 12. Februar 2024 gelistet, und öffentliche Exploit-Dokumentation ist verfügbar. Der EPSS-Score von 93,07 % (Perzentile: 99,78 %) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2023-34048 betroffen?
Ausschließlich VMware vCenter Server ist von CVE-2023-34048 betroffen. Die genauen betroffenen Versionen sind im VMware Security Advisory VMSA-2023-0023 dokumentiert. VMware hat Patches für die betroffenen Versionen bereitgestellt.
Wie behebe ich CVE-2023-34048?
Die Behebung erfordert das sofortige Einspielen der von VMware bereitgestellten Patches gemäß dem Security Advisory VMSA-2023-0023. Zusätzlich sollte der Netzwerkzugriff auf den vCenter Server auf autorisierte Management-Netzwerke beschränkt werden. Weitere Details finden Sie im Abschnitt Behebungsmaßnahmen dieser Seite.
Wie schwerwiegend ist CVE-2023-34048?
CVE-2023-34048 wird mit einem CVSS-Score von 9,8 (CRITICAL) bewertet – die höchste Risikostufe. Die Schwachstelle ist ohne Authentifizierung und Benutzerinteraktion über das Netzwerk ausnutzbar und ermöglicht potenziell Remote Code Execution auf VMware vCenter Server. Der EPSS-Score von 93,07 % (Perzentile: 99,78 %) unterstreicht das kritische Bedrohungsniveau.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.