CVE-2018-6961
VMware SD-WAN Edge — VMware SD-WAN Edge by VeloCloud Command Injection Vulnerability
Beschreibung
VMware NSX SD-WAN Edge von VeloCloud vor Version 3.1.0 enthält eine Schwachstelle zur Befehlseinschleusung im lokalen Web-UI-Komponente. Dieser Komponente ist standardmäßig deaktiviert und sollte nicht auf unvertrauenswürdigen Netzwerken aktiviert werden. VeloCloud von VMware wird diesen Dienst in zukünftigen Versionen aus dem Produkt entfernen. Eine erfolgreiche Ausnutzung dieser Schwachstelle könnte zu einer Fernausführung führen.
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
CVE-2018-6961 erreicht einen EPSS-Wert von 86,25 % (Perzentile 99,7 %), was auf eine sehr hohe Ausnutzungswahrscheinlichkeit in der freien Wildbahn hinweist — trotz des CVSS-v3-Scores von 8.1 mit hoher Angriffskomplexität (AC:H) ist die reale Ausnutzbarkeit durch öffentlich verfügbare Exploits signifikant erhöht. Der Angriffsvektor ist netzwerkbasiert und erfordert weder Authentifizierung noch Nutzerinteraktion, was die Angriffsfläche für exponierte Edges erheblich vergrößert. Für KRITIS-Organisationen mit SD-WAN-Infrastruktur ist das Risiko besonders hoch, da eine erfolgreiche Kompromittierung des Edge-Geräts die Integrität des gesamten WAN-Segments gefährdet. CISA hat diese Schwachstelle am 25. März 2022 in den KEV-Katalog aufgenommen, was eine verbindliche Remediation-Frist für US-Bundesbehörden ausgelöst hat — NIS2-pflichtige Organisationen sollten diese Dringlichkeit als Benchmark für ihre eigene Patch-Priorisierung heranziehen.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- Patch einspielen: Upgrade aller VMware NSX SD-WAN Edge (VeloCloud) Appliances auf Version 3.1.0 oder höher. Patch-Verfügbarkeit und genaue Build-Nummer im VMware Security Advisory VMSA-2018-0013 verifizieren.
- Lokale Web-UI deaktivieren: Falls ein sofortiger Upgrade nicht möglich ist, die lokale Web-UI-Komponente des SD-WAN Edge unverzüglich deaktivieren — laut Hersteller ist sie standardmäßig deaktiviert; sicherstellen, dass sie auf keiner Appliance aktiv ist (
show servicebzw. Konfigurationsaudit im VeloCloud Orchestrator). - Netzwerkzugang zum Management-Port sperren: Eingehenden Zugriff auf den lokalen Web-UI-Port (typischerweise TCP 80/443 auf der Edge-Management-Schnittstelle) durch ACLs oder Firewall-Regeln auf ausschließlich autorisierte Management-Netze beschränken.
- Bestandsaufnahme exponierter Edges: Alle SD-WAN Edge-Instanzen identifizieren, bei denen die lokale Web-UI auf einem nicht vertrauenswürdigen Netz (z. B. Internet-facing VLAN, Gäste-VLAN) erreichbar ist — diese sofort isolieren.
- Credentials rotieren: Lokale Administrator-Passwörter aller betroffenen Edge-Appliances rotieren, da bei erfolgreicher Ausnutzung RCE mit potenzieller Credential-Extraktion möglich ist.
Runbook · Schritt 2
Mitigation-Layer
- Netzwerksegmentierung: Management-Interfaces der SD-WAN Edges in ein dediziertes Out-of-Band-Management-VLAN überführen; kein direkter Zugriff aus Produktions- oder Nutzer-VLANs.
- WAF/IPS-Regel: Eingehende HTTP/HTTPS-Requests an die Edge-Management-IP auf bekannte Command-Injection-Muster filtern — z. B. Suricata-Regel mit
content:"|3b|"; content:"|7c|"; http_uri;kombiniert mit Ziel-IP der Edge-Management-Schnittstelle. Snort/Suricata Community-Ruleset auf vorhandene SIDs für CVE-2018-6961 prüfen. - Zero-Trust-Zugang zum Orchestrator: Zugriff auf den VeloCloud Orchestrator ausschließlich über MFA-gesichertes VPN oder ZTNA-Lösung erlauben; direkte Exposition des Orchestrators ins Internet unterbinden.
- Least Privilege — lokale UI-Accounts: Lokale UI-Accounts auf Edge-Appliances deaktivieren oder auf Read-only beschränken, sofern operative Anforderungen dies erlauben.
- Konfigurationsänderungs-Monitoring: Automatisierte Alerts im VeloCloud Orchestrator für jede unerwartete Aktivierung der lokalen Web-UI-Komponente einrichten.
Runbook · Schritt 3
Detection-Regeln
- Web-Server-Accesslog (Edge-lokale UI): Anomale POST-Requests mit Shell-Metazeichen (
;,|,$(,`) in URI oder Body — SPL-Snippet:index=edge_weblogs method=POST | regex _raw="[;|$(]"`. - Sysmon / EDR — Prozess-Abstammung: Kindprozesse von Web-Server-Prozessen (z. B.
nginx,lighttpd) auf dem Edge-OS, die Shell-Interpreter (sh,bash,python) spawnen — Sigma-Shape:ParentImage|endswith: 'nginx' AND Image|endswith: 'sh'. - Linux auditd — Syscall execve:
auditd-Regeltype=EXECVEmita0=/bin/shundppiddes Web-Server-Prozesses; Alert bei unerwarteten Kindprozessen außerhalb des normalen Edge-Prozessbaums. - Netzwerk-Telemetrie (Zeek/NetFlow): Ausgehende Verbindungen vom Edge-Management-Interface zu externen IPs auf ungewöhnlichen Ports nach einem eingehenden HTTP-Request — Indikator für Reverse-Shell-Aktivität.
- VeloCloud Orchestrator Audit-Log: Unerwartete Konfigurationsänderungen oder API-Calls unmittelbar nach Zugriffen auf die lokale Web-UI — Korrelation von Orchestrator-Events mit Edge-Accesslogs im SIEM.
Metriken
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
vmware
nsx_sd-wan_by_velocloud3.1.0
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.
Quellen & Referenzen
- http://www.securityfocus.com/bid/104185vdb-entryx_refsource_BID
- https://www.exploit-db.com/exploits/44959/exploitx_refsource_EXPLOIT-DB
- http://www.securitytracker.com/id/1041210vdb-entryx_refsource_SECTRACK
- http://www.vmware.com/security/advisories/VMSA-2018-0011.htmlx_refsource_CONFIRM
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-6961government-resource