Vmware-Leck mit hohem Sicherheitsrisiko

Vmware warnt vor der Schwachstelle CVE-2021-22045, die Angreifern die Ausführung von Schadcode im Hypervisor ermöglicht und stuft das Sicherheitsrisiko als hoch ein (CVSS-Score 7.7). Betroffen sind virtuelle Maschinen, die mit den Vmware-Produkten ESXi, Fusion, Workstation oder Cloud Foundation erstellt wurden. Konkret muss die betreffende VM mit einem virtuellen CD-ROM-Laufwerk aufgesetzt werden, über das ein Angreifer dann einen Heap Overflow anstossen und darauf seinen bösartigen Code zur Ausführung bringen kann.


Patches gibt es bisher für einige, aber nicht alle betroffenen Vmware-Plattformen. Aktualisierte Versionen stehen für ESXi 6.5 und 6.7 bereit, ESXI 7.0 muss noch warten. Es wird empfohlen, bis zur Freigabe einer gepatchten Version auf virtuelle CD-ROM-Laufwerke zu verzichten beziehungsweise diese zu deaktivieren. Das Gleiche gilt für Cloud Foundation. Fusion ist ab Version 12.2.0 sicher, Workstation ab Version 16.2.0. (ubi)