Exploit für kritische Lücke in VMware vRealize Log angekündigt

Sicherheitsforscher des Horizon3 Attack Team wollen im Lauf dieser Woche einen Exploit veröffentlichen, mit dem sich Anfälligkeiten in VMware vRealize Log Insight ausnutzen lassen. Die auch als VMware Aria Operations for Logs bezeichnete Software ist anfällig für das Einschleusen und Ausführen von Schadcode aus der Ferne.

Patches für die vier fraglichen Schwachstellen stehen seit Anfang vergangener Woche zur Verfügung. Zwei Sicherheitslücken sind als kritisch eingestuft. VMware-Administratoren benutzen das Tool, um große Datenmengen von Infrastruktur- und Anwendungs-Logs zu verwalten und zu analysieren.

Forscher betonen geringe Komplexität eines Angriffs

Die beiden als kritische eingestuften Bugs sind im zehnstufigen Common Vulnerability Scoring System (CVSS) mit 9,8 Punkten bewertet. Sie lassen sich aus der Ferne und ohne vorherige Authentifizierung ausnutzen. Die Komplexität eines Angriffs ist zudem als gering eingestuft.

Bei einer Schwachstelle handelt es sich laut BleepingComputer um eine Directory-Traversal-Lücke, die das Einschleusen von Dateien in das Betriebssystem erlaubt. Der zweite Fehler wiederum ermöglicht es, mit speziell gestalteten Dateien Zugangskontrollen zu umgehen.

Das Horizon3 Attack Team hat nach eigenen Angaben einen Angriff entwickelt, bei dem drei der vier Schwachstellen verknüpft werden, um eine Remotecodeausführung mit Root-Rechten zu erreichen. Angreifer könnten unter anderem vertrauliche Informationen ausspähen, darunter API-Schlüssel und Sitzungs-Tokens, um weitere Teile einer Unternehmensinfrastruktur zu kompromittieren.

Den Sicherheitsforschern zufolge sind Appliances mit VMware vRealize Log Insight in der Regel nicht mit dem Internet verbunden. Eine Shodan-Suche habe lediglich 45 Instanzen im Internet ergeben. Ein Angreifer müsse also zuerst an „anderer Stelle im Netzwerk Fuß fassen“. Allerdings sei diese Vorgehensweise nicht unüblich.