CVE-2024-38812
VMware vCenter Server Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2024-38812 ist eine kritische Heap-Overflow-Schwachstelle in der DCERPC-Protokollimplementierung des VMware vCenter Server, die es einem unauthentifizierten Angreifer mit Netzwerkzugang ermoeglicht, durch ein speziell praepariertes Netzwerkpaket Remote Code Execution (RCE) zu erzielen. Die Schwachstelle wird mit dem hoechstmoeglichen CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft VMware vCenter Server in den Versionen 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2.
Die CISA hat CVE-2024-38812 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-12-11. Der EPSS-Score von 77,87 % (99,0. Perzentil) signalisiert eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit, die CVE-2024-38812 zu einer der gefaehrlichsten aktiv ausgenutzten Schwachstellen macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 4.0, < 5.2 |
| vmware | vcenter server | 7.0; 8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
Heap-Based Buffer Overflow (Heap Overflow)
CVE-2024-38812 basiert auf einem Heap-basierten Pufferueberlauf in der DCERPC-Protokollimplementierung des vCenter Server. Bei einem Heap Overflow schreibt das Programm Daten ueber die Grenzen eines im Heap-Speicher allokierten Puffers hinaus, was zur Korruption benachbarter Speicherstrukturen fuehrt. Angreifer koennen diese Speicherkorruption gezielt ausnutzen, um die Programmausfuehrung umzuleiten und beliebigen Code im Kontext des Zielprozesses auszufuehren.
Die DCERPC-Implementierung (Distributed Computing Environment / Remote Procedure Calls) verarbeitet eingehende Netzwerkpakete unzureichend, sodass ein ueberlanges Paket den Heap-Puffer ueberlaeuft und kontrollierbare Speicherbereiche ueberschreibt.
Weitere Informationen: CWE-122 -- Heap-based Buffer Overflow
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38812 sind ausserordentlich schwerwiegend, da der VMware vCenter Server die zentrale Verwaltungskomponente fuer virtualisierte Infrastrukturen darstellt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine Schwachstelle, die ohne jede Authentifizierung, Benutzerinteraktion oder besondere Angriffskomplexitaet remote ausnutzbar ist und saemtliche Schutzziele vollstaendig kompromittiert. Vertraulichkeit (Hoch): Ein Angreifer erhaelt durch Remote Code Execution vollstaendigen Zugriff auf alle Daten des vCenter Servers, einschliesslich VM-Konfigurationen, gespeicherter Zugangsdaten und Netzwerkinformationen. Integritaet (Hoch): Beliebige Aenderungen an der gesamten virtualisierten Infrastruktur werden moeglich, von der Manipulation virtueller Maschinen bis zur Aenderung von Netzwerkkonfigurationen. Verfuegbarkeit (Hoch): Der Angreifer kann den vCenter-Dienst vollstaendig stoeren oder die verwalteten VMs herunterfahren und zerstoeren. Der EPSS-Score von 77,87 % (99,0. Perzentil) bestaetigt die massive Ausnutzung. In Kombination mit CVE-2024-38813 entsteht eine Angriffskette, die zur vollstaendigen Uebernahme der virtualisierten Infrastruktur fuehrt.
Exploit-Reifegrad
CVE-2024-38812 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-11 in den KEV-Katalog aufgenommen. Der EPSS-Score von 77,87 % (99,0. Perzentil) gehoert zu den hoechsten ueberhaupt beobachteten Werten und zeigt eine extrem hohe Ausnutzungsaktivitaet an. Der Ransomware-Status ist aktuell als unbekannt klassifiziert, jedoch macht die Moeglichkeit der vollstaendigen Remote-Uebernahme von vCenter-Servern diese Schwachstelle fuer alle Arten von Bedrohungsakteuren attraktiv. Broadcom hat ein Security Advisory veroeffentlicht, das sowohl CVE-2024-38812 als auch die verwandte Privilege-Escalation-Schwachstelle CVE-2024-38813 adressiert. Die Schwachstelle wurde im Rahmen des Matrix Cup 2024 Hacking-Wettbewerbs entdeckt und ist durch die niedrige Angriffskomplexitaet und fehlende Authentifizierungsanforderung besonders leicht auszunutzen.
Behebung
-
vCenter Server umgehend patchen: Installieren Sie die von Broadcom bereitgestellten Sicherheitsupdates fuer vCenter Server 7.0 und 8.0. Konsultieren Sie das Broadcom Security Advisory fuer die exakten Patch-Versionen. Diese Schwachstelle hat hoechste Patch-Prioritaet.
-
Cloud Foundation aktualisieren: Fuer VMware Cloud Foundation-Installationen ab Version 4.0 ist ein Update auf Version 5.2 oder hoeher erforderlich, um die Schwachstelle zu schliessen.
-
Netzwerksegmentierung implementieren: Isolieren Sie den vCenter Server in einem dedizierten Management-Netzwerk und beschraenken Sie den Zugriff strikt auf autorisierte Administratoren. Blockieren Sie insbesondere den DCERPC-Verkehr aus nicht vertrauenswuerdigen Netzwerken.
-
Intrusion Detection aktivieren: Konfigurieren Sie IDS/IPS-Systeme zur Erkennung von Anomalien im DCERPC-Verkehr zum vCenter Server. Ueberwachen Sie Netzwerk-Logs auf verdaechtige Verbindungsversuche.
-
Incident Response vorbereiten: Wenn der vCenter Server vor dem Patchen aus nicht vertrauenswuerdigen Netzwerken erreichbar war, fuehren Sie eine forensische Analyse durch, um eine moegliche Kompromittierung auszuschliessen. Pruefen Sie alle verwalteten VMs auf unautorisierte Aenderungen.
Technische Details
CVE-2024-38812 betrifft VMware vCenter Server in den Versionen 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt die maximale Bedrohungsstufe fuer eine Schwachstelle ohne Scope-Aenderung an. Angriffsvektor (Netzwerk): Die Schwachstelle ist direkt ueber das Netzwerk ausnutzbar, ohne dass ein lokaler Zugang erforderlich ist. Angriffskomplexitaet (Niedrig): Es sind keine besonderen Bedingungen oder spezifisches Wissen ueber die Zielumgebung erforderlich. Berechtigungen (Keine): Der Angriff erfordert keinerlei Authentifizierung, was die Schwachstelle besonders gefaehrlich macht. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert ohne Mitwirkung eines Benutzers erfolgen. Der Angriffsmechanismus basiert auf einem Heap-basierten Pufferueberlauf in der DCERPC-Protokollimplementierung (Distributed Computing Environment / Remote Procedure Calls). DCERPC ist ein Protokoll fuer entfernte Prozeduraufrufe, das vom vCenter Server fuer die interne Kommunikation verwendet wird. Durch das Senden eines speziell praeparierten Netzwerkpakets, das die Puffergrenzen ueberschreitet, kann ein Angreifer den Heap-Speicher kontrolliert korrumpieren und beliebigen Code im Kontext des vCenter-Prozesses ausfuehren, was effektiv zur vollstaendigen Systemuebernahme fuehrt.
Häufig gestellte Fragen
Wie kritisch ist CVE-2024-38812?
CVE-2024-38812 gehoert mit einem CVSS-Score von 9.8 (CRITICAL) zu den gefaehrlichsten bekannten Schwachstellen in VMware-Produkten. Die Kombination aus Remote Code Execution ohne Authentifizierung, niedriger Angriffskomplexitaet und der zentralen Rolle des vCenter Servers macht sie zu einer erstrangigen Bedrohung. Der EPSS-Score von 77,87 % (99,0. Perzentil) bestaetigt die massive Ausnutzung.
Wie haengen CVE-2024-38812 und CVE-2024-38813 zusammen?
CVE-2024-38812 ermoeglicht Remote Code Execution ohne Authentifizierung, waehrend CVE-2024-38813 eine anschliessende Rechteausweitung auf Root-Ebene ermoeglicht. Zusammen bilden sie eine vollstaendige Angriffskette: Zunaechst erlangt der Angreifer ueber CVE-2024-38812 Codeausfuehrung, dann eskaliert er ueber CVE-2024-38813 seine Privilegien auf Root. Beide Schwachstellen muessen gleichzeitig gepatcht werden.
Welche Systeme sind von CVE-2024-38812 betroffen?
Betroffen sind VMware vCenter Server in den Versionen 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2. Da vCenter Server als zentrale Verwaltungsinstanz oft Hunderte oder Tausende virtuelle Maschinen verwaltet, ist der Blast Radius einer erfolgreichen Ausnutzung enorm.
Wird CVE-2024-38812 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als unbekannt eingestuft. Angesichts der Tatsache, dass VMware vCenter die Verwaltung gesamter virtualisierter Infrastrukturen ermoeglicht, ist ein Einsatz durch Ransomware-Gruppen sehr wahrscheinlich. Virtualisierungs-Plattformen sind ein bevorzugtes Ziel fuer Ransomware-Akteure, da die Verschluesselung von VMs maximalen Schaden verursacht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.