CVE-2024-38813
VMware vCenter Server Privilege Escalation Vulnerability
Beschreibung
CVE-2024-38813 ist eine Privilege-Escalation-Schwachstelle im VMware vCenter Server, die es einem authentifizierten Angreifer mit Netzwerkzugang ermoeglicht, durch ein speziell praepariertes Netzwerkpaket Root-Rechte zu erlangen. Die Schwachstelle wird mit einem CVSS-Score von 7.5 (HIGH) bewertet und betrifft VMware vCenter Server in den Versionen 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2.
Die CISA hat CVE-2024-38813 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-12-11. Der EPSS-Score von 31,11 % (96,6. Perzentil) weist auf eine hohe Wahrscheinlichkeit der Ausnutzung hin. Der Ransomware-Status ist derzeit als unbekannt eingestuft.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | cloud foundation | >= 4.0, < 5.2 |
| vmware | vcenter server | 7.0; 8.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
Privilege Escalation ueber Netzwerkpaket
CVE-2024-38813 ermoeglicht eine Rechteausweitung (Privilege Escalation) im VMware vCenter Server. Die Schwachstelle entsteht durch eine fehlerhafte Verarbeitung speziell praeparierter Netzwerkpakete, wodurch ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugang seine Privilegien auf Root-Ebene ausweiten kann. Die genaue CWE-Klassifikation wurde vom Hersteller nicht veroeffentlicht, die Schwachstelle faellt jedoch in den Bereich der unsachgemaessen Privilegienverwaltung.
Weitere Informationen: CWE-269 -- Improper Privilege Management
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-38813 sind schwerwiegend, da VMware vCenter Server als zentrale Verwaltungskomponente fuer virtualisierte Infrastrukturen dient. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Schwachstelle zwar eine hohe Angriffskomplexitaet erfordert und niedrige Berechtigungen voraussetzt, dafuer aber vollstaendige Kompromittierung aller drei Schutzziele ermoeglicht. Vertraulichkeit (Hoch): Ein Angreifer mit Root-Zugang kann saemtliche Konfigurationen, Zugangsdaten und VM-Daten einsehen. Integritaet (Hoch): Mit Root-Rechten koennen beliebige Aenderungen an der vCenter-Konfiguration, an virtuellen Maschinen und an der gesamten Infrastruktur vorgenommen werden. Verfuegbarkeit (Hoch): Der Angreifer kann den gesamten vCenter-Dienst stoeren oder VMs manipulieren. Der EPSS-Score von 31,11 % (96,6. Perzentil) unterstreicht die erhebliche Ausnutzungswahrscheinlichkeit. In Kombination mit CVE-2024-38812 kann die Schwachstelle besonders verheerend wirken, da sie eine vollstaendige Remote-Uebernahme der virtualisierten Umgebung ermoeglicht.
Exploit-Reifegrad
CVE-2024-38813 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-11 in den KEV-Katalog aufgenommen. Der EPSS-Score von 31,11 % (96,6. Perzentil) liegt deutlich ueber dem Durchschnitt und zeigt eine substanzielle Ausnutzungsaktivitaet an. Der Ransomware-Status ist aktuell als unbekannt klassifiziert, was bedeutet, dass eine Nutzung durch Ransomware-Gruppen weder bestaetigt noch ausgeschlossen ist. Broadcom hat ein Security Advisory veroeffentlicht, das die Schwachstelle zusammen mit der kritischeren CVE-2024-38812 adressiert. Die Kombination beider Schwachstellen erhoeht die Attraktivitaet fuer Angreifer erheblich.
Behebung
-
vCenter Server umgehend aktualisieren: Installieren Sie die von Broadcom bereitgestellten Sicherheitsupdates fuer vCenter Server 7.0 und 8.0. Konsultieren Sie das Broadcom Security Advisory fuer die spezifischen Patch-Versionen.
-
Cloud Foundation aktualisieren: Fuer VMware Cloud Foundation-Installationen ab Version 4.0 muss auf Version 5.2 oder hoeher aktualisiert werden, um die Schwachstelle zu beheben.
-
Netzwerkzugang zum vCenter Server einschraenken: Beschraenken Sie den Netzwerkzugang zum vCenter Server auf vertrauenswuerdige Management-Netzwerke. Implementieren Sie Firewall-Regeln, die nur autorisierte Administratoren den Zugriff erlauben.
-
Monitoring und Anomalieerkennung aktivieren: Ueberwachen Sie den vCenter Server auf ungewoehnliche Authentifizierungsversuche und Privilegienaenderungen. Pruefen Sie Audit-Logs auf verdaechtige Aktivitaeten, insbesondere Rechteausweitungen.
-
Gleichzeitig CVE-2024-38812 adressieren: Da beide Schwachstellen im selben Advisory behandelt werden und in Kombination besonders gefaehrlich sind, sollten beide gleichzeitig gepatcht werden.
Technische Details
CVE-2024-38813 betrifft VMware vCenter Server in den Versionen 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen Netzwerkangriff mit hoher Komplexitaet, der niedrige Berechtigungen erfordert, aber keine Benutzerinteraktion benoetigt. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, was sie fuer jeden Angreifer mit Zugang zum vCenter-Management-Netzwerk ausnutzbar macht. Angriffskomplexitaet (Hoch): Die Ausnutzung erfordert spezifische Bedingungen oder spezielles Wissen ueber die Zielumgebung, was die Angriffskomplexitaet erhoeht. Berechtigungen (Niedrig): Ein Angreifer benoetigt einen gueltig authentifizierten Zugang zum vCenter Server, selbst mit minimalen Berechtigungen. Der Angriffsmechanismus basiert auf dem Senden eines speziell praeparierten Netzwerkpakets, das eine fehlerhafte Verarbeitung in der Privilegienverwaltung ausloest und dem Angreifer Root-Rechte auf dem System gewaehrt. Dies ermoeglicht die vollstaendige Kontrolle ueber den vCenter Server und damit ueber die gesamte verwaltete virtualisierte Infrastruktur.
Häufig gestellte Fragen
Wird CVE-2024-38813 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-38813 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 31,11 % (96,6. Perzentil) stuetzt diese Einschaetzung. Organisationen sollten die Behebung dieser Schwachstelle mit hoechster Prioritaet behandeln.
Wie haengen CVE-2024-38813 und CVE-2024-38812 zusammen?
Beide Schwachstellen betreffen den VMware vCenter Server und werden im selben Broadcom Security Advisory behandelt. CVE-2024-38812 ist eine kritische Heap-Overflow-Schwachstelle (CVSS 9.8), die Remote Code Execution ohne Authentifizierung ermoeglicht. CVE-2024-38813 ermoeglicht die anschliessende Rechteausweitung auf Root-Ebene. In Kombination ermoeglichen sie eine vollstaendige Uebernahme der vCenter-Infrastruktur.
Welche Versionen sind von CVE-2024-38813 betroffen?
Betroffen sind VMware vCenter Server 7.0 und 8.0 sowie VMware Cloud Foundation ab Version 4.0 bis unter 5.2. Beide Produkte sollten umgehend auf die von Broadcom bereitgestellten gepatchten Versionen aktualisiert werden.
Wird CVE-2024-38813 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist aktuell als unbekannt klassifiziert. Angesichts der Tatsache, dass vCenter Server kritische Infrastrukturkomponenten verwaltet und die Schwachstelle Root-Zugang ermoeglicht, ist eine Nutzung durch Ransomware-Gruppen jedoch nicht auszuschliessen. Insbesondere die Moeglichkeit, ueber vCenter auf zahlreiche VMs zuzugreifen, macht diese Schwachstelle fuer Ransomware-Akteure attraktiv.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.