CVE-2020-3952
VMware vCenter Server — VMware vCenter Server Information Disclosure Vulnerability
Beschreibung
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
CVE-2020-3952 erhält einen CVSS-v3-Score von 9.8 (AV:N/AC:L/PR:N/UI:N) und liegt im EPSS-Perzentil 99,8 % — das bedeutet, dass nahezu alle vergleichbaren Schwachstellen eine geringere Ausnutzungswahrscheinlichkeit aufweisen. Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer mit Netzwerkzugang zu TCP 389 den vollständigen Abruf des vmdir-Verzeichnisses, das Passwort-Hashes, Zertifikate und Konfigurationsdaten der gesamten vSphere-Infrastruktur enthält — ein erfolgreicher Angriff entspricht faktisch einer vollständigen Kompromittierung der Virtualisierungsebene. Für KRITIS-Organisationen und NIS2-pflichtige Betreiber ist vCenter typischerweise ein Single Point of Control für Hunderte von VMs; der Schaden durch Credential-Extraktion kann weit über die vSphere-Umgebung hinausgehen. Patch-Einsatz hat höchste Priorität; bis dahin ist die Netzwerkisolation von Port 389 die wirksamste Sofortmassnahme.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- VMware vCenter Server sofort auf eine nicht betroffene Version patchen: VMware hat mit vCenter Server 6.7 Update 3f (Build 15976714) einen Fix bereitgestellt — Patch-Version im VMware Security Advisory VMSA-2020-0006 verifizieren.
- Netzwerkzugang zu TCP-Port 389 (LDAP/vmdir) auf dem vCenter- bzw. PSC-Host unmittelbar auf vertrauenswürdige Management-Netze beschränken — kein direkter Zugriff aus dem Internet oder aus Produktions-VLANs.
- Alle Dienstkonten und Administratorpasswörter, die im VMware Directory Service (vmdir) gespeichert sind, als kompromittiert betrachten und rotieren — insbesondere das SSO-Administrator-Konto (
administrator@vsphere.local). - vCenter-Audit-Logs und vmdir-Logs auf unerwartete LDAP-Bind-Anfragen oder Massen-Abfragen gegen Port 389 prüfen (Zeitraum: mindestens 90 Tage rückwirkend).
- Sofern ein externer PSC eingesetzt wird: PSC-Host isolieren und Erreichbarkeit auf dedizierte Management-Hosts einschränken, bis der Patch eingespielt ist.
Runbook · Schritt 2
Mitigation-Layer
- Netzwerksegmentierung: Firewall-Regel einrichten, die TCP 389 und TCP 636 (LDAPS) zum vCenter/PSC ausschliesslich aus dem dedizierten Management-VLAN erlaubt; alle anderen Quellen blockieren.
- IPS/IDS-Signatur: Suricata-Regel auf anomale LDAP-Anfragen ohne gültige Bind-Authentifizierung auf Port 389 ausrichten — Muster: LDAP Simple Bind mit leerem Passwort oder anonymem Bind gegen vmdir.
- Least Privilege / IAM: Anzahl der Konten mit SSO-Administratorrechten auf das absolute Minimum reduzieren; Multi-Faktor-Authentifizierung für vSphere-Administratoren erzwingen, soweit die Umgebung dies unterstützt.
- Konfigurationshärtung: LDAP-Zugriff auf vmdir deaktivieren und ausschliesslich LDAPS (TCP 636) zulassen, sofern alle Clients dies unterstützen — reduziert Angriffsfläche auch ohne vollständigen Patch.
- Monitoring-Eskalation: Temporär erhöhte Alarmierungsschwelle für alle Authentifizierungsereignisse in vCenter und vSphere Web Client einrichten; SIEM-Korrelationsregel für fehlgeschlagene und erfolgreiche Logins aus unbekannten Quell-IPs aktivieren.
Runbook · Schritt 3
Detection-Regeln
- Netzwerk-Telemetrie (Zeek/Suricata): Anomale LDAP-Verbindungen auf TCP 389 zum PSC/vCenter-Host aus Quellen ausserhalb des Management-Netzes — KQL-Snippet:
NetworkEvents | where DestPort == 389 and not(SrcIP in (mgmt_subnet_list)). - Web-Server-/Anwendungslog: Unerwartete LDAP-Bind-Anfragen ohne Authentifizierung im vmdir-Log (
/var/log/vmware/vmdir/vmdird.log) — Muster:"Bind request"kombiniert mit"anonymous"oder leerembindDN. - Sigma-Regelform (Netzwerk):
title: Anomalous LDAP access to vCenter vmdir logsource: network detection: selection: dst_port: 389 dst_ip: <vcenter_or_psc_ip> filter: src_ip: <management_cidr> condition: selection and not filter - EDR/Prozess-Telemetrie auf dem vCenter-Host: Unerwartete Kindprozesse von
vmdirdodervmafdd— insbesondere Shell-Spawns (/bin/sh,bash) als Nachfolger dieser Dienste sind ein starkes Kompromittierungsindiz. - Authentifizierungsereignisse: Mehrfache erfolgreiche SSO-Logins mit
administrator@vsphere.localaus verschiedenen Quell-IPs innerhalb kurzer Zeit — SPL-Snippet:index=vsphere sourcetype=vcenter_audit user="administrator@vsphere.local" | stats dc(src_ip) by _time span=5m | where dc(src_ip) > 3.
Metriken
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
vmware
vcenter_server
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.