Die Hersteller von VMware veröffentlichen zwei Sicherheitsmeldungen und aktualisierte Software zum Herunterladen. Betroffen sind die VMware-Produkte Aria Operations for Logs, VMware Fusion und VMware Workstation.
In Aria Operations for Logs können nicht authentifizierte Angreifer Dateien in betroffene Appliances einschleusen und ausführen (CVE-2023-34051, CVSS 8.1, Risiko “hoch“). Außerdem können Cyberkriminelle mit nicht-administrativen Rechten die Deserialisierung von Daten anstoßen und somit einer Authentifizierung umgehen (CVE-2023-34052, CVSS 8.1, “hoch“). Betroffen sind die WMware Cloud Fondation Versionen 4.x und 5.x. Für beide Versionen gibt es eine Anleitung zu Gegenmaßnahmen in der Sicherheitsmeldung. Für die Versionen der 8.x-Reihe von Aria Operations for Logs steht die ausgebesserte Version 8.14 bereit.
In VMware Fusion und Workstation Player sowie Pro befinden sich drei Sicherheitslücken. Hier können Cyberkriminelle außerhalb vorgesehener Speichergrenzen auf die Funktion zum Teilen von Bluetooth-Geräten mit virtuellen Maschinen lesend zugreifen. Dadurch können Angreifer privilegierte Informationen aus dem Hypervisor-Speicherbereich auslesen (CVE-2023-34044, CVSS 7.1, “hoch“). VMware Workstation 17.5 und Fusion 13.5 beheben das Problem.
Zudem ist VMware Fusion von zwei weiteren Schwachstellen betroffen. Angreifer ohne Administratorrechte können ihre Rechte auf dem Hostsystem auf root ausweiten, da eine Überprüfung bei der Erstinstallation oder einem Update von einem .dmg-Image einen Time-of-Check-Time-of-Use-Fehler (TOCTOU) enthält. Dieser Fehler kann auftreten, wenn ein Angreifer die Anwendung aus dem .dmg-Image extrahiert oder kopiert, anstatt sie per Doppelklick zu starten (CVE-2023-34046, CVSS 6.7, “mittel“). Die andere Sicherheitslücke ermöglicht eine Ausweitung der Rechte auf ähnliche Weise (CVE-2023-34045, CVSS 6.6, “mittel“). Diese Lücken werden ebenfalls von der Fusion Version 13.5 ausgebessert.
Sollten Sie Unterstützung benötigen, wenden Sie sich gerne an uns.
E-Mail:
Schreiben Sie eine E-Mail an support@cosus.de.
Telefon:
Kontaktieren Sie unseren technischen Support unter folgender Telefonnummer:
+49 7724 9386 998