VMware warnt vor kritischer Zero-Day-Lücke in Workspace One

VMware hat eine Sicherheitswarnung für eine kritische Schwachstelle in seiner integrierten Plattform für digitale Arbeitsplätze Workspace One veröffentlicht. Die Anfälligkeit mit der Kennung CVE-2020-4006, für die es noch keinen Patch gibt, ist dort mit einem CVSS-Score von 9,1 von 10 möglichen Punkten bewertet. Ein Angreifer kann unter Umständen Befehle außerhalb der virtuellen Umgebung ausführen, wie ThreatPost berichtet.

„Ein böswilliger Akteur mit Netzwerkzugang zum administrativen Konfigurator auf Port 8443 und einem gültigen Passwort für das Administratorkonto des Konfigurators kann Befehle mit uneingeschränkten Privilegien auf dem eigentlichen Betriebssystem ausführen.“

Davon betroffen sind Workspace One Access, Workspace One Access Connector, Identity Manager, Identity Manager Connector, Cloud Foundation und vRealize Suite LifeCycle Manager. Der Fehler soll in insgesamt 12 Produktversionen stecken.

VMware bietet zwar noch keinen Patch an, hat aber eine Behelfslösung veröffentlicht. Sie steht allerdings nur für VMware Workspace One Access, VMware Identity Manager und VMware Identity Manager Connector zur Verfügung. Das Unternehmen rät davon ab, diese auch auf andere VMware-Produkte anzuwenden.

Darüber hinaus führt der Workaround dazu, dass über den Konfigurator keine Änderungen vorgenommen werden können. Sollten Änderungen notwendig sein, müssen Kunden die Behelfslösung zurücknehmen und anschließend erneut einstellen. Außerdem weist VMware darauf hin, dass das System Diagnostic Dashboard nur eingeschränkt funktioniert.

Ob die Zero-Day-Lücke bereits aktiv von Hacker ausgenutzt wird, teilte VMware nicht mit. Nach Angaben des Unternehmens ist ein Patch in Arbeit. Einen Zeitplan für dessen Veröffentlichung hat das Unternehmen nicht kommuniziert.