Kritiska Säkerhetsuppdateringar för VMware vCenter Server

Den 21 oktober 2024 släppte Broadcom en uppdaterad säkerhetsrådgivning som adresserar två allvarliga säkerhetsproblem i VMware vCenter Server och VMware Cloud Foundation: en heap-överflödes-sårbarhet (CVE-2024-38812) och en privilegieförhöjnings-sårbarhet (CVE-2024-38813).

Båda sårbarheterna har en kritisk CVSSv3-poäng på upp till 9,8, och kan potentiellt leda till fjärrkörning av skadlig kod eller ge en angripare högre systembehörighet. VMware har uppmanat alla kunder att installera de senaste säkerhetsfixarna så snabbt som möjligt för att skydda sina system.

Heap-overflow och Privilegieförhöjning: CVE-2024-38812 är en heap-overflow-sårbarhet i DCERPC-protokollet som kan användas för att skicka specialdesignade nätverkspaket och möjliggöra fjärrkodexekvering. CVE-2024-38813 är en sårbarhet som gör det möjligt för en angripare att eskalera sina privilegier till root genom att skicka särskilda paket till vCenter Server.

Påverkade Produkter och Uppdateringar:

  • VMware vCenter Server och VMware Cloud Foundation är de primära produkterna som påverkas.
  • Uppdateringar finns nu tillgängliga för versionerna 8.0 och 7.0. Broadcom har också bekräftat att tidigare utgivna patchar från september 2024 inte helt löste sårbarheterna, vilket gör att de nu tillhandahåller uppdaterade patchar.

Rekommendation: Alla VMware-användare uppmanas starkt att omgående tillämpa de senaste patcharna som anges i Broadcoms svarsmatris för att skydda sina system mot potentiella hot.

För mer information, besök Broadcoms säkerhetsrådgivning här.

Kritiska Sårbarheter i VMware vCenter Server

Broadcom har nyligen utfärdat en säkerhetsrådgivning för att varna användare om två kritiska sårbarheter som upptäckts i VMware vCenter Server: CVE-2024-38812 och CVE-2024-38813. Båda dessa sårbarheter har potential att allvarligt påverka systemets säkerhet och integritet, och därför är det avgörande att förstå vad de innebär och hur de kan åtgärdas.

Sårbarheter i Detalj

  1. CVE-2024-38812 – Heap Overflow i DCERPC
    • Denna sårbarhet är kopplad till ett heap-overflow i DCERPC-protokollet. Den kan utnyttjas av en illasinnad aktör som har nätverksåtkomst till vCenter Server för att köra godtycklig kod. Med andra ord kan angripare få kontroll över systemet genom att utnyttja denna brist. I och med att DCERPC är ett viktigt protokoll för kommunikation mellan nätverkstjänster, gör detta sårbarheten mycket allvarlig.
    • Sårbarheten kan användas för att kompromettera hela systemet, vilket innebär att den ger möjlighet till fjärrkodkörning utan att användaren behöver interagera aktivt med en infekterad fil eller länk.
  2. CVE-2024-38813 – Eskalering av Privilegier
    • Den andra sårbarheten kan utnyttjas för att eskalera rättigheter till root-nivå. Detta innebär att om en angripare har lyckats få någon form av åtkomst till systemet kan denne uppgradera sina rättigheter för att få full kontroll över vCenter Server. En eskalering till root-nivå kan innebära att angriparen får möjlighet att göra omfattande systemändringar, vilket ytterligare ökar risken för dataförlust och manipulation.

Potentiella Konsekvenser

Om dessa sårbarheter utnyttjas framgångsrikt kan det leda till att en angripare tar full kontroll över hela den virtuella infrastrukturen. Med fjärrkodkörning kan skadlig programvara installeras, och med privilegieförhöjning kan kritiska systemfiler och tjänster manipuleras. Detta utgör ett allvarligt hot, särskilt i miljöer där VMware vCenter Server hanterar stora mängder data och virtuella maskiner.

Rekommendationer för Åtgärd

  • Uppdatera omedelbart: Broadcom rekommenderar starkt att administratörer omedelbart uppdaterar till den senaste versionen av VMware vCenter Server. Uppdateringar och patchar är de mest effektiva sätten att åtgärda dessa kritiska sårbarheter.
  • Segmentera Nätverkstillgången: Begränsa åtkomsten till vCenter Server till endast betrodda nätverk eller VPN-anslutningar. Genom att segmentera nätverkstrafiken kan risken för utnyttjande minskas.
  • Övervakning av System: Implementera noggrann övervakning för att snabbt identifiera misstänkt aktivitet som kan indikera försök till intrång eller utnyttjande av sårbarheter.

Varför Detta Är Viktigt

VMware vCenter Server är ett centralt system för hantering av virtuella miljöer, och många företag är beroende av det för sina molntjänster och interna system. En attack som utnyttjar dessa sårbarheter kan få förödande konsekvenser, inklusive driftstopp, dataförlust och potentiella kostnader kopplade till återställning och incidenthantering. Därför är det avgörande att snabbt agera för att minimera riskerna.

Slutsats

De nyligen identifierade sårbarheterna, CVE-2024-38812 och CVE-2024-38813, utgör en betydande säkerhetsrisk för VMware vCenter Server-användare. Att snabbt applicera de senaste uppdateringarna och stärka säkerhetsåtgärderna kring nätverksåtkomst är avgörande för att minimera dessa risker. Organisationer som är beroende av vCenter bör se över sina säkerhetsprotokoll och implementera proaktiva säkerhetslösningar för att skydda sin virtuella infrastruktur.

Viktig säkerhetsuppdatering för VMware vCenter Server

VMware har nyligen släppt kritiska säkerhetsuppdateringar för vCenter Server som adresserar två allvarliga sårbarheter: en heap-overflow-sårbarhet (CVE-2024-38812) och en privilegieeskalering (CVE-2024-38813). Dessa sårbarheter kan potentiellt utnyttjas av illvilliga aktörer och påverka systemets säkerhet allvarligt.

Sammanfattning av sårbarheterna

CVE-2024-38812 – Heap-overflow sårbarhet

  • Beskrivning: En sårbarhet i implementeringen av DCERPC-protokollet i vCenter Server.
  • Påverkan: En angripare med nätverksåtkomst kan skicka ett speciellt utformat nätverkspaket som kan leda till fjärrkörning av kod.
  • Allvarlighetsgrad: Kritisk med en CVSSv3-baspoäng på 9.8.

CVE-2024-38813 – Privilegieeskalering

  • Beskrivning: En sårbarhet som tillåter en angripare att eskalera sina privilegier till root-nivå.
  • Påverkan: Genom att skicka ett speciellt utformat nätverkspaket kan en angripare få högre behörighet på systemet.
  • Allvarlighetsgrad: Viktig med en CVSSv3-baspoäng på 7.5.

Påverkade produkter

  • VMware vCenter Server versioner 7.0 och 8.0.
  • VMware Cloud Foundation versioner 4.x och 5.x.

Rekommenderade åtgärder

Uppdatera till senaste versionen

För att åtgärda dessa sårbarheter bör du omedelbart uppdatera till följande versioner:

  • vCenter Server 8.0: Uppdatera till 8.0 U3b.
  • vCenter Server 7.0: Uppdatera till 7.0 U3s.
  • VMware Cloud Foundation 5.x/4.x: Följ asynkron patchningsguide enligt KB88287.

Observera: VMware har identifierat att uppdateringen vCenter Server 8.0 U3b kan introducera funktionsproblem. Läs KB377734 för mer information innan du uppdaterar.

Inga tillgängliga workarounds

Det finns inga tillgängliga inbyggda lösningar för dessa sårbarheter. Det är därför avgörande att du applicerar de officiella uppdateringarna.

Så här uppdaterar du

  1. Ladda ner uppdateringen:
  2. Följ installationsinstruktionerna:
  3. Verifiera uppdateringen:
    • Efter installationen, kontrollera att systemet fungerar korrekt och att sårbarheterna har åtgärdats.

Slutsats

Att skydda din VMware-infrastruktur är av yttersta vikt. Vi uppmanar alla administratörer att omedelbart vidta åtgärder för att uppdatera sina system och därmed minimera risken för potentiella säkerhetsincidenter.

För ytterligare information och vanliga frågor, besök:

Sårbarhet i VMwareprodukter

Här är en sammanfattning av säkerhetsaviseringen från Broadcom Support:

Aviseringsnummer: VMSA-2024-0011 Produkter påverkade:

  • VMware ESXi
  • Workstation
  • Fusion
  • vCenter Server

Sårbarheter som åtgärdas:

  • CVE-2024-22273: En sårbarhet som påverkar VMware ESXi, Workstation, Fusion och vCenter Server.
  • CVE-2024-22274: En annan sårbarhet som åtgärdas i samma produkter.
  • CVE-2024-22275: Ännu en sårbarhet som har åtgärdats.

För mer detaljerad information kan du besöka Broadcom Support Portal. Där hittar du den fullständiga aviseringen.

VMware vCenter 5.5 startar inte efter omstart

Efter en serverkrasch vägrade VMware vCenter starta igen automatiskt efter uppstart av servern. Vid närmare kontroll visar det sig att några tjänster inte startat som planerat nämligen VMware VirtualCenter Server och VMware VirtualCenter Management Webservices bland annat. Dessutom är inte heller VMware Inventory Service igång. Ingen av tjänsterna går att starta manuellt förutom VMware vSphere Profile-Driven Storage Service som också var stoppad.

Event ID 1000 loggas i eventloggen varje gång man försöker start VMware VirtualCenter tjänsten manuellt i applikationsloggen och Event ID 7024 loggas i Systemloggen. Omstart av tjänsterna i korrekt ordning  verkar heller inte lösa problemet.

Det verkar vara ett problem relaterat till inloggning vid första anblicken, Identity Managment Service och Secure Token Service stängs ner och startas om (Identity Management Service startas först sen STS). Ingen lycka… Dags att kontrollera vpxd.log lite noggrannare och se om där kan finnas några ledtrådar.

I vpxd.log loggas fel relaterade till databasen:

[00312 error 'utilvpxdVdb'] [VpxdVdb::SetDBType] Encountered login error. Subsequent connection attempt failed: 28000

Dags att testa ODBC kopplingen alltså, vid testinloggning via ODBC managern så får man fel:

Microsoft SQL Server Native Client Version 10.50.2500
Running connectivity tests…
Attempting connection [Microsoft][SQL Server Native Client 10.0][SQL Server]Login failed for user ‘VCENTER\Administrator’. [Microsoft][SQL Server Native Client 10.0][SQL Server]Cannot open database ”VIM_VCDB” requested by the login. The login failed.
TESTS FAILED!

Så uppenbarligen något problem med inloggning mot databasen.

När man öppnar databasen i SQL Server Management Studio så är databasen märkt med en gul varningstriangel och ett förtydligande i form av texten ”Suspect”. En reperation av databasen senare och VMware VirtualCenter Server tjänsten startar som den ska och vi är tillbaks till en fungerande miljö.