CVE-2024-37085
VMware ESXi Authentication Bypass Vulnerability
Beschreibung
CVE-2024-37085 ist eine Authentication-Bypass-Schwachstelle in VMware ESXi mit einem CVSS-Score von 6.8 (MEDIUM). Die Sicherheitslücke ermöglicht es einem Angreifer mit ausreichenden Active-Directory-Berechtigungen, vollständigen administrativen Zugriff auf einen ESXi-Host zu erlangen, der für die Benutzerverwaltung über Active Directory konfiguriert ist. Betroffen sind VMware ESXi 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0. Besonders kritisch ist, dass diese Schwachstelle nachweislich in Ransomware-Angriffen eingesetzt wird — der KEV-Eintrag vermerkt den Ransomware-Status als "Known". Der EPSS-Score von 72,47 % (98,7. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 4.0, < 5.2 |
| vmware | esxi | 7.0; 8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
Für CVE-2024-37085 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle stellt einen Authentication Bypass in der Active-Directory-Integration von VMware ESXi dar. Wenn ein ESXi-Host für die Benutzerverwaltung über Active Directory (AD) konfiguriert ist, verwendet er standardmäßig eine AD-Gruppe namens "ESXi Admins" zur Zuweisung von Administratorrechten. Die Schwachstelle besteht darin, dass ein Angreifer, der Zugriffsrechte zur Erstellung von AD-Gruppen besitzt, die Gruppe "ESXi Admins" neu erstellen kann, nachdem sie gelöscht wurde, und dadurch automatisch vollständigen administrativen Zugriff auf den ESXi-Host erhält. Dies umgeht die vorgesehene Authentifizierungs- und Autorisierungslogik vollständig. Konzeptionell entspricht dies CWE-287 (Improper Authentication) in Verbindung mit CWE-276 (Incorrect Default Permissions).
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-37085 sind trotz des mittleren CVSS-Scores von 6.8 in der Praxis verheerend, insbesondere im Kontext von Ransomware-Angriffen. Vertraulichkeit: Administrativer Zugriff auf ESXi-Hosts ermöglicht das Lesen sämtlicher Konfigurationen, VM-Disk-Dateien und Netzwerkeinstellungen aller gehosteten virtuellen Maschinen. Integrität: Der Angreifer kann VMs modifizieren, Snapshots erstellen, Konfigurationen ändern und bösartige VMs bereitstellen. Verfügbarkeit: Mit vollständigem ESXi-Admin-Zugang kann der Angreifer alle VMs herunterfahren, VM-Dateien verschlüsseln und den gesamten Hypervisor-Layer zerstören. Der netzwerkbasierte Angriffsvektor (AV:N) erfordert zwar hohe Berechtigungen (PR:H) im Active Directory, doch in der Praxis verfügen viele kompromittierte Domänenbenutzer über die Berechtigung, AD-Gruppen zu erstellen. Der Ransomware-Status ist als "Known" klassifiziert, was bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv nutzen, um ESXi-Umgebungen zu verschlüsseln. Da ein einzelner ESXi-Host typischerweise Dutzende von produktiven VMs hostet, kann die Kompromittierung eines Hypervisors den Geschäftsbetrieb eines gesamten Unternehmens zum Erliegen bringen.
Exploit-Reifegrad
CVE-2024-37085 weist eine kritische Exploit-Reife auf, insbesondere aufgrund der bestätigten Nutzung in Ransomware-Kampagnen. Die Schwachstelle wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 20. August 2024. Der KEV-Eintrag vermerkt explizit Ransomware: Known, was die Schwachstelle zu einer der wenigen mit bestätigtem Ransomware-Einsatz macht. Der EPSS-Score von 72,47 % (98,7. Perzentil) unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit. Mehrere Ransomware-Gruppen, darunter Storm-0506, Storm-1175, Octo Tempest und Manatee Tempest, wurden dabei beobachtet, wie sie diese Schwachstelle nutzen, um ESXi-Umgebungen zu kompromittieren und anschließend VM-Dateien mit Ransomware wie Akira und Black Basta zu verschlüsseln. Die Ausnutzung erfordert einen bestehenden Zugang zum Active Directory, was die Schwachstelle zu einem typischen Post-Exploitation-Tool in mehrstufigen Ransomware-Angriffen macht.
Behebung
-
VMware-Patch installieren: Installieren Sie umgehend die von Broadcom/VMware bereitgestellten Sicherheitsupdates über den VMware Security Advisory. Für ESXi 8.0 und 7.0 sind Patches verfügbar, VMware Cloud Foundation sollte auf Version 5.2 oder höher aktualisiert werden.
-
ESXi Admins AD-Gruppe prüfen und absichern: Überprüfen Sie sofort, ob in Ihrem Active Directory eine Gruppe namens "ESXi Admins" existiert und wer Mitglied ist. Wenn die Gruppe nicht benötigt wird, löschen Sie sie und ändern Sie die ESXi-Host-Konfiguration, um einen benutzerdefinierten, nicht vorhersagbaren Gruppennamen zu verwenden.
-
AD-Gruppenerststellung einschränken: Beschränken Sie die Berechtigung zur Erstellung von Active-Directory-Gruppen auf autorisierte Administratoren. Standardmäßig können authentifizierte Domänenbenutzer bis zu 10 Computerobjekte erstellen — prüfen Sie und verschärfen Sie diese Einstellung mittels der Richtlinie "ms-DS-MachineAccountQuota".
-
ESXi-Host-Konfiguration härten: Deaktivieren Sie die AD-Integration auf ESXi-Hosts, die diese Funktion nicht zwingend benötigen. Nutzen Sie stattdessen lokale Authentifizierung oder vCenter-basierte Benutzerverwaltung. Wenn AD-Integration erforderlich ist, konfigurieren Sie einen benutzerdefinierten Admin-Gruppennamen.
-
Ransomware-Schutz für ESXi-Umgebungen: Implementieren Sie Backup-Strategien, die ESXi-unabhängig sind (z.B. netzwerkbasierte Backups auf isolierte Storage-Systeme). Aktivieren Sie ESXi-Lockdown-Mode, um die Angriffsfläche zu reduzieren. Überwachen Sie AD-Änderungen auf das Erstellen oder Modifizieren von Gruppen mit ESXi-relevanten Namen.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-37085 lautet CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H mit einem Gesamtscore von 6.8 (MEDIUM). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, da die Active-Directory-Kommunikation netzwerkbasiert erfolgt. Angriffskomplexität (AC:L): Die Ausnutzung ist trivial — es genügt, eine AD-Gruppe mit dem richtigen Namen zu erstellen. Erforderliche Berechtigungen (PR:H): Hohe Berechtigungen im Active Directory sind notwendig, insbesondere die Berechtigung zur Erstellung von Gruppen oder Computerobjekten. Benutzerinteraktion (UI:R): Eine Form der Benutzerinteraktion ist erforderlich. Scope (S:U): Der Angriff bleibt im Kontext des ESXi-Hosts. Die technische Ursache der Schwachstelle liegt in der Art, wie VMware ESXi die Active-Directory-Integration implementiert. Wenn ein ESXi-Host der AD-Domäne beitritt, konfiguriert er standardmäßig die AD-Gruppe "ESXi Admins" als Quelle für administrative Berechtigungen. Wenn diese Gruppe gelöscht wird (z.B. im Rahmen einer Domänenbereinigung), kann ein Angreifer mit AD-Berechtigungen eine neue Gruppe mit demselben Namen erstellen und sich selbst als Mitglied hinzufügen. Der ESXi-Host erkennt diese Gruppe und gewährt automatisch vollständigen administrativen Zugriff, da die Zuordnung rein auf dem Gruppennamen basiert und keine zusätzliche Validierung (wie SID-Überprüfung oder Bestätigungsworkflows) stattfindet. Dieser Designfehler macht die Schwachstelle besonders in Umgebungen gefährlich, in denen ein Angreifer bereits Domänenzugriff erlangt hat.
Häufig gestellte Fragen
Warum ist CVE-2024-37085 trotz mittlerem CVSS-Score so gefährlich?
Der CVSS-Score von 6.8 (MEDIUM) spiegelt die formalen Voraussetzungen wider (hohe Berechtigungen im AD, Benutzerinteraktion). In der Praxis ist die Schwachstelle jedoch verheerend, da Ransomware-Gruppen sie aktiv nutzen, um gesamte ESXi-Infrastrukturen zu verschlüsseln. Ein einzelner kompromittierter ESXi-Host kann Dutzende produktive VMs beherbergen, deren Ausfall den gesamten Geschäftsbetrieb lahmlegen kann.
Welche Ransomware-Gruppen nutzen CVE-2024-37085?
Mehrere bekannte Ransomware-Gruppen wurden bei der Ausnutzung beobachtet, darunter Storm-0506, Storm-1175, Octo Tempest und Manatee Tempest. Die eingesetzten Ransomware-Varianten umfassen Akira und Black Basta, die speziell für die Verschlüsselung von ESXi-VM-Dateien (VMDK) optimiert sind.
Muss ich Active Directory in ESXi nutzen?
Nein, die AD-Integration ist optional. ESXi kann auch mit lokalen Benutzerkonten oder über vCenter-basierte Benutzerverwaltung betrieben werden. Wenn AD-Integration nicht zwingend benötigt wird, ist die Deaktivierung der sicherste Weg, diese Schwachstelle zu eliminieren. Bei erforderlicher AD-Integration sollte der Standard-Gruppenname "ESXi Admins" durch einen benutzerdefinierten Namen ersetzt werden.
Wie erkenne ich, ob mein ESXi-Host kompromittiert wurde?
Prüfen Sie die ESXi-Zugriffslogs auf unautorisierte administrative Anmeldungen, insbesondere über AD-Konten. Überprüfen Sie im Active Directory, ob kürzlich eine Gruppe "ESXi Admins" erstellt oder modifiziert wurde. Achten Sie auf ungewöhnliche VM-Operationen wie massenhafte Shutdowns, Snapshot-Erstellungen oder Dateimodifikationen an VMDK-Dateien.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.