VMware: Wichtige Sicherheitsupdates für ESXi und vCenter Server

Sicherheitsupdates für vier Lücken in ESXi und vCenter Server schützen unter anderem vor dem Diebstahl von VM-Anmeldedaten.

In mehreren Versionen von VMwares Virtualisierungsplattform ESXi und der VMware-Servermanagementsoftware vCenter Server klaffen insgesamt vier Sicherheitslücken mittleren bis hohen Schweregrads. Der Hersteller hat nachgebessert und Updates veröffentlicht, die Nutzer zeitnah einspielen sollten. Details zu allen vier Lücken, Informationen zu möglichen Workarounds sowie Links zu den abgesicherten Versionen sind VMwares Security Advisory (VMSA-2019-0013) zu entnehmen.

Wie aus dem Advisory hervorgeht, weisen zwei der vier Sicherheitslücken den CVSS-v3-Score 7.7 („Severity: Important“) auf und betreffen vCenter Server in den Versionen 6.0, 6.5 und 6.7. Ein Angreifer könnte eine von ihnen (CVE-2019-5532) missbrauchen, um (unverschlüsselt gespeicherte) VM-Root-Zugangsdaten aus Logfiles auszulesen. Auch die andere (CVE-2019-5534) ermöglicht das Auslesen von Anmeldedaten, und zwar über die so genannten vAppConfig Properties.

Die vCenter-Versionen 6.0 U3j, 6.5 U3 und 6.7 U3 sind gegen Angriffe auf die beiden Lücken abgesichert.

Die übrigen beiden Sicherheitslücken bewertet VMware lediglich als mäßig gefährlich („Moderate“). Sie betreffen ESXi (CVE-2017-16544; ältere Lücke in BusyBox) beziehungsweise ESXi und vCenter Server (CVE-2019-5531) – und zwar wiederum in den Versionen 6.0, 6.5 und 6.7.

Die Fixes stecken in ESXi600-201909101-SG, ESXi650-201907101-SG und ESXi670-201904101-SG beziehungsweise in vCenter ab den Versionen 6.0 U3j, 6.5 U2b und 6.7 U1b. (ovw)

Quelle: heise.de