Mit den neuen Versionen Workstation Pro und Workstation Player 17.0.2 sowie Fusion 13.0.2 behebt der Software-Hersteller VMware mehrere Schwachstellen in diesen Produkten. Zwei der Sicherheitslücken in Workstation Pro und Workstation Player haben Sicherheitsforscher im Rahmen des Hacker-Wettbewerbs Pwn2own im März in Vancouver aufgedeckt.
Am 24. März, dem dritten und letzten Tag des Pwn2own-Wettbewerbs, haben die Hacker des Sicherheitsunternehmens Star Labs aus Singapur zwei Schwachstellen in VMware Workstation ausgenutzt, um aus der virtuellen Maschine auszubrechen und Code auf dem Host-System auszuführen. Das hat dem Team 80.000 US-Dollar Preisgeld eingebracht. Die Vorjahressieger konnten ihren Titel zwar nicht verteidigen, holten jedoch immerhin den zweiten Platz.
▶Die neuesten Sicherheits-Updates
Wie beim Pwn2own üblich, erhielt der Hersteller noch vor Ort alle Details zu den genutzten Schwachstellen sowie dazu, wie die Forscher sie ausgenutzt hatten. Die Lücke CVE-2023-20869 beschreibt VMware als Pufferüberlauf in einer Bluetooth-Funktion und stuft sie als kritisch ein (CVSS Score 9.3). Die Lücke CVE-2023-20870 ist demnach hingegen ein Datenleck, durch das Code, der in der virtuellen Maschine läuft, Informationen aus dem Speicher des Hypervisors auslesen kann. VMware weist diese Sicherheitslücke als hohes Risiko aus (CVSS Score 7.1). Beide Schwachstellen betreffen neben Workstation und Player auch Fusion.
Außerdem hat VMware mit den Updates zwei weitere Sicherheitslücken geschlossen. Als hohes Risiko gilt CVE-2023-20872, wenn ein CD-/DVD-Laufwerk an den Rechner angeschlossen und in die virtuelle Maschine eingebunden ist (CVSS Score 7.7). Betroffen sind Workstation und Fusion. Nur in Fusion hat der Hersteller die Lücke CVE-2023-20871 beseitigt, deren Ausnutzung einem Angreifer höhere Rechte auf dem Host-System verschaffen kann.
Bereits am 11. April hat Adobe mehrere Sicherheitslücken in seinen PDF-Produkten Acrobat und Acrobat Reader mit Updates geschlossen. Am 18. April hat Oracle mehrere Lücken in VirtualBox geschlossen. In beiden Fällen waren einige der Schwachstellen bei Pwn2own-Wettbewerb ans Licht gekommen.
Business, Security