CVE-2024-37079
Broadcom VMware vCenter Server Out-of-bounds Write Vulnerability
Beschreibung
CVE-2024-37079 ist eine kritische Heap-Overflow-Schwachstelle in der DCERPC-Protokollimplementierung von VMware vCenter Server. Ein Angreifer mit Netzwerkzugang zu vCenter Server kann durch das Senden eines speziell praeparierten Netzwerkpakets potenziell Remote Code Execution erreichen. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 82,96 % (99,2. Perzentil) gehoert diese Schwachstelle zu den gefaehrlichsten aktuell bekannten Bedrohungen fuer Virtualisierungsinfrastrukturen. Die CISA hat CVE-2024-37079 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 13. Februar 2026. Betroffen sind VMware vCenter Server 7.0 und 8.0 sowie VMware Cloud Foundation 4.x bis 5.2.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 4.0, < 5.2 |
| vmware | vcenter server | 8.0; 7.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-787: Out-of-bounds Write
CWE-787 (Out-of-bounds Write) beschreibt eine Schwachstellenklasse, bei der Software Daten ueber die Grenzen eines allozierten Speicherbereichs hinaus schreibt. Bei einem Heap-Overflow werden Daten ueber den zugewiesenen Bereich eines Heap-basierten Puffers hinaus geschrieben, was zur Korruption von Heap-Metadaten, Funktionszeigern oder anderen kritischen Datenstrukturen fuehrt. Im Fall von CVE-2024-37079 tritt der Overflow bei der Verarbeitung von DCERPC-Paketen auf, was einem Angreifer die Kontrolle ueber den Speicher und potenziell die Ausfuehrung beliebigen Codes ermoeglicht. Mehr erfahren
Auswirkungsanalyse
Vollstaendige Kompromittierung der Virtualisierungsinfrastruktur: Die schwerwiegendste Auswirkung ist die Moeglichkeit der Remote Code Execution auf dem vCenter Server, der als zentrales Verwaltungssystem saemtliche VMware-ESXi-Hosts und virtuelle Maschinen kontrolliert. Vertraulichkeit (C:H) umfasst den Zugriff auf Konfigurationsdaten aller verwalteten Hosts, Zugangsdaten, Zertifikate und potenziell den Inhalt aller virtuellen Maschinen. Integritaet (I:H) ermoeglicht die Manipulation von VM-Konfigurationen, das Erstellen von Snapshots zur Datenexfiltration und die Installation von Backdoors auf vCenter und allen verwalteten Hosts. Verfuegbarkeit (A:H) gibt dem Angreifer die Kontrolle ueber den gesamten Virtualisierungsbetrieb, einschliesslich der Moeglichkeit, alle VMs herunterzufahren oder zu loeschen.
Strategische Bedeutung: vCenter Server ist das Herzstuck jeder VMware-Umgebung. Eine Kompromittierung bedeutet nicht nur den Verlust eines einzelnen Systems, sondern potenziell der gesamten virtualisierten Infrastruktur eines Unternehmens. Der Angriff erfordert keine Authentifizierung und keine Benutzerinteraktion (AV:N/AC:L/PR:N/UI:N).
EPSS und Ransomware: Der EPSS-Score von 82,96 % (99,2. Perzentil) ist einer der hoechsten ueberhaupt. Der Ransomware-Status ist als Unknown klassifiziert. Virtualisierungsplattformen sind jedoch bevorzugte Ziele fuer Ransomware-Gruppen, da eine einzige Kompromittierung den Zugriff auf hunderte virtuelle Maschinen ermoeglicht.
Exploit-Reifegrad
CVE-2024-37079 weist eine sehr hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn. Broadcom (ehemals VMware) hat Sicherheitsupdates unter Broadcom Security Advisory bereitgestellt.
EPSS-Kontext: Mit einem EPSS-Score von 82,96 % (99,2. Perzentil) gehoert CVE-2024-37079 zu den oberen 0,8 % der am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Dies spiegelt die strategische Bedeutung von vCenter-Servern und die Attraktivitaet als Angriffsziel wider.
Historischer Kontext: VMware vCenter-Schwachstellen werden regelmässig von APT-Gruppen (Advanced Persistent Threats) und Ransomware-Gruppen ausgenutzt. Die DCERPC-Schnittstelle war bereits in der Vergangenheit Ziel von Angriffen, was die Relevanz dieser Schwachstelle unterstreicht.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Angesichts der Tatsache, dass Ransomware-Gruppen wie BlackCat/ALPHV und LockBit gezielt VMware-Umgebungen angreifen, ist eine Ausnutzung fuer Ransomware-Zwecke hochwahrscheinlich.
Behebung
- vCenter Server Sicherheitsupdate installieren: Wenden Sie umgehend die von Broadcom bereitgestellten Patches an. Fuer vCenter Server 8.0 und 7.0 stehen Updates ueber das Broadcom Security Advisory VMSA-2024-0012 zur Verfuegung. Planen Sie ein Wartungsfenster fuer die Aktualisierung ein.
- VMware Cloud Foundation aktualisieren: Falls VMware Cloud Foundation im Einsatz ist, aktualisieren Sie auf Version 5.2 oder hoeher. Fuer aeltere Versionen ab 4.0 pruefen Sie die verfuegbaren Async-Patches ueber den SDDC Manager.
- Netzwerkzugang einschraenken: Beschraenken Sie den Netzwerkzugang zum vCenter Server auf ein dediziertes Management-Netzwerk. Nur berechtigte Administratoren sollten direkten Netzwerkzugriff auf den vCenter Server haben. Implementieren Sie Micro-Segmentierung mit NSX oder Firewall-Regeln.
- Monitoring verstaerken: Aktivieren Sie detailliertes Logging auf dem vCenter Server und ueberwachen Sie insbesondere DCERPC-Verkehr auf anomale Muster. Implementieren Sie Network Detection and Response (NDR) fuer das Management-Netzwerk und pruefen Sie die vCenter-Logs auf verdaechtige Aktivitaeten.
- Incident-Response-Plan aktualisieren: Aktualisieren Sie Ihren Incident-Response-Plan um Szenarien fuer die Kompromittierung von Virtualisierungsinfrastrukturen. Stellen Sie sicher, dass Backups der vCenter-Konfiguration und der VCSA-Datenbank vorliegen und regelmaessig getestet werden.
Technische Details
Die Schwachstelle liegt in der Implementierung des DCERPC-Protokolls (Distributed Computing Environment / Remote Procedure Call) im VMware vCenter Server. DCERPC wird intern fuer die Kommunikation zwischen vCenter-Komponenten und fuer bestimmte Verwaltungsoperationen verwendet. Der Heap-Overflow tritt bei der Verarbeitung speziell praeparierter DCERPC-Pakete auf, wenn ein Eingabepuffer die erwartete Groesse ueberschreitet und der ueberlaufende Inhalt benachbarte Heap-Bereiche ueberschreibt.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Der Angreifer sendet ein speziell praepariertes DCERPC-Netzwerkpaket an den vCenter Server. Die verwundbare Komponente alloziert einen Heap-Puffer basierend auf Laengenangaben im Paket, validiert jedoch die tatsaechliche Datenlaenge nicht ausreichend. Durch das Senden von Daten, die groesser als der allozierte Puffer sind, werden benachbarte Heap-Strukturen ueberschrieben. Der Angreifer kann dies gezielt nutzen, um Heap-Metadaten oder Funktionszeiger zu manipulieren und die Kontrolle ueber den Programmfluss zu uebernehmen.
Betroffene Versionen: VMware vCenter Server 8.0 (alle Builds vor dem Patch), VMware vCenter Server 7.0 (alle Builds vor dem Patch) und VMware Cloud Foundation 4.x bis einschliesslich 5.1.x.
Häufig gestellte Fragen
Ist mein vCenter Server von CVE-2024-37079 betroffen?
Wenn Sie VMware vCenter Server 7.0 oder 8.0 einsetzen und die aktuellen Sicherheitsupdates noch nicht eingespielt haben, ist Ihr System verwundbar. Pruefen Sie die installierte Build-Nummer unter Administration > Deployment > System Configuration und vergleichen Sie diese mit den Angaben im Broadcom Security Advisory.
Kann die Schwachstelle ueber das Internet ausgenutzt werden?
Die Schwachstelle erfordert Netzwerkzugang zum vCenter Server. Wenn Ihr vCenter Server direkt aus dem Internet erreichbar ist, besteht unmittelbare Gefahr. In den meisten Unternehmensumgebungen befindet sich der vCenter Server in einem Management-Netzwerk, was die Angriffsoberflaeche reduziert, aber nicht eliminiert. Ein Angreifer, der bereits Zugang zum internen Netzwerk hat, kann die Schwachstelle ausnutzen.
Was ist DCERPC und warum ist es auf dem vCenter Server aktiv?
DCERPC (Distributed Computing Environment / Remote Procedure Call) ist ein Protokoll fuer entfernte Prozeduraufrufe, das von VMware intern fuer die Kommunikation zwischen Komponenten verwendet wird. Es ist standardmaessig aktiv und kann nicht ohne Funktionsverlust deaktiviert werden. Das Sicherheitsupdate behebt die fehlerhafte Pufferverarbeitung in der DCERPC-Implementierung.
Sind auch VMware ESXi Hosts direkt betroffen?
CVE-2024-37079 betrifft direkt den vCenter Server, nicht die ESXi-Hosts. Da vCenter jedoch alle ESXi-Hosts verwaltet, fuehrt eine Kompromittierung des vCenter Servers indirekt zur Gefaehrdung aller verwalteten Hosts und virtuellen Maschinen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.