Die Versionen 5.5.x, 5.8.x, 6.0.x und 6.1.x der VMware vSphere Data Protection sind aufgrund von zwei kritischen Sicherheitslücken verwundbar. Abgesichert sind die aktuellen Ausgaben 6.0.5 und 6.1.4. Das Angriffsrisiko stuft das Notfallteam des BSI CERT Bund als "sehr hoch" ein.

Es handelt sich bei der ersten Schwachstelle (CVE-2017-4914) um einen Java-Deserialization-Bug. Aus der Ferne können Angreifer hier ansetzen, ohne sich anmelden zu müssen. Dadurch haben Angreifer die Möglichkeit, anschließend beliebige Befehle auszuführen.

Lokale Eindringlinge können über die zweite Lücke (CVE-2017-4917) ohne Authentifizierung Log-in-Daten von einem vCenter-Server auslesen. Die Verschlüsselung der Zugangsdaten soll, laut VMware, umkehrbar sein.

(ms, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE