CVE-2020-3992
VMware ESXi — VMware ESXi OpenSLP Use-After-Free Vulnerability
Beschreibung
OpenSLP, wie es in VMware ESXi (vor ESXi_7.0.1-0.0.16850804 für Version 7.0, vor ESXi670-202010401-SG für Version 6.7 und vor ESXi650-202010401-SG für Version 6.5) verwendet wird, hat ein Verwendungs-nach-Freigabe-Problem. Ein böswilliger Akteur im Managementnetzwerk, der Zugriff auf Port 427 eines ESXi-Geräts hat, könnte eine Verwendung-nach-Freigabe in dem OpenSLP-Dienst auslösen und dadurch zur Ausführung von Ferncode führen.
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
CVE-2020-3992 ist mit CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) und einem EPSS-Wert im 99,7. Perzentil als kritisch einzustufen — ein nicht authentifizierter Angreifer mit Netzwerkzugang zu Port 427 kann vollständige Remote-Code-Ausführung auf dem Hypervisor erlangen und damit sämtliche darauf laufenden Gast-VMs kompromittieren. CISA hat die Schwachstelle mit dem Flag „Known Ransomware Campaign Use" versehen, was auf aktive Nutzung in Ransomware-Kampagnen hinweist und die Dringlichkeit für KRITIS-Betreiber (NIS2-Scope) erheblich erhöht. Organisationen, deren ESXi-Management-Interface aus flachen Netzwerken oder gar dem Internet erreichbar ist, müssen Patch und SLP-Deaktivierung als P0-Maßnahme behandeln; selbst vollständig intern exponierte Hosts sind gefährdet, sobald ein Angreifer laterale Bewegung im Management-Netz erreicht hat.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- Patch einspielen (höchste Priorität): ESXi 7.0 auf Build ESXi_7.0.1-0.0.16850804 oder neuer aktualisieren; ESXi 6.7 auf ESXi670-202010401-SG; ESXi 6.5 auf ESXi650-202010401-SG. VMware Cloud Foundation 3.x/4.x: Patch-Version beim Hersteller-Advisory nachschlagen und sofort anwenden.
- Port 427 (SLP/TCP+UDP) auf Netzwerkebene sperren: Firewall-Regeln so setzen, dass Port 427 ausschließlich aus dem dedizierten Management-VLAN erreichbar ist — kein Zugriff aus Produktions-, Gast- oder DMZ-Netzen.
- OpenSLP-Dienst auf ungepatchten Hosts deaktivieren: Auf jedem ESXi-Host als Sofortmaßnahme
esxcli network firewall ruleset set -r CIMSLP -e falseund den SLP-Daemon viachkconfig slpd off && /etc/init.d/slpd stopabschalten. VMware empfiehlt dies explizit als Workaround. - Management-Netz isolieren: Sicherstellen, dass das ESXi-Management-Interface (vmk0) in einem dedizierten, nicht gerouteten Management-VLAN liegt und kein direkter Zugriff aus dem Internet oder aus Nutzer-VLANs besteht.
- Kompromittierungsindikatoren prüfen: Logs auf ungewöhnliche Prozesse unter
hostd,slpdoderrhttpproxyuntersuchen; ESXi-Shell-Zugriffe der letzten 30 Tage auswerten (siehe Detection-Regeln).
Runbook · Schritt 2
Mitigation-Layer
- Netzwerksegmentierung: Port 427 (TCP/UDP) per ACL oder Firewall-Policy auf explizit autorisierte Jump-Hosts/Bastion-Hosts beschränken. Suricata-Regel-Idee:
alert tcp any any -> $ESXI_MGMT 427 (msg:"CVE-2020-3992 SLP access attempt"; sid:2020399201; rev:1;). - vSphere Distributed Firewall / NSX-T Mikrosegmentierung: Falls NSX-T vorhanden, Mikrosegmentierungsregel anlegen, die SLP-Traffic (Port 427) nur von autorisierten Management-Hosts erlaubt und alle anderen Quellen verwirft.
- Jump-Host-Pflicht durchsetzen: Administrativer Zugriff auf ESXi-Hosts ausschließlich über gehärtete Bastion-Hosts mit MFA — keine direkte RDP/SSH-Verbindung aus Endnutzer-Segmenten.
- IDS/IPS-Signatur aktivieren: Prüfen, ob das eingesetzte IPS eine Signatur für CVE-2020-3992 enthält (z. B. Palo Alto Threat ID, Snort Community Rules). Signatur im Blocking-Modus betreiben, solange der Patch aussteht.
- Least-Privilege für vCenter-Konten: Service-Accounts, die auf ESXi-Hosts zugreifen, auf minimale Berechtigungen reduzieren; privilegierte Konten mit separaten, rotierenden Credentials versehen, um Lateral-Movement nach einer Kompromittierung einzuschränken.
Runbook · Schritt 3
Detection-Regeln
- Netzwerk-Telemetrie (Zeek/Suricata): Verbindungen auf Port 427 von Quell-IPs außerhalb des autorisierten Management-Subnetzes protokollieren. KQL-Snippet (Microsoft Sentinel / Defender for Cloud):
CommonSecurityLog | where DestinationPort == 427 and not(SourceIP matches regex @"^10\.0\.1\.")— Subnetz anpassen. - ESXi-Syslog — unerwartete Prozess-Spawns: Auf dem ESXi-Host unter
/var/log/shell.logund/var/log/hostd.lognach Einträgen suchen, die auf Shell-Ausführung durchslpdoderhostdhinweisen: Musterslpd.*execoderhostd.*sh -c. - Sysmon / EDR auf Management-Jump-Hosts: Prozess-Abstammungskette
vmware-hostd.exe→cmd.exeoderpowershell.exeals Anomalie werten (Sysmon Event ID 1, ParentImage enthälthostd). - Sigma-Regel-Shape (ESXi-Syslog):
title: CVE-2020-3992 SLP RCE Indicator logsource: { product: vmware, service: esxi } detection: keywords: ['slpd', 'use-after-free', 'segfault'] condition: keywords - Authentifizierungs-Anomalien: vCenter-Audit-Log auf neue oder unbekannte SSH-Sessions auf ESXi-Hosts prüfen (Event-Typ
vim.event.UserLoginSessionEventmit unbekannter Quell-IP). SIEM-Alert bei Login außerhalb der Geschäftszeiten oder von nicht inventarisierten IPs.
Metriken
Betroffene Betriebssysteme
other
vmware / esxi6.5
other
vmware / esxi6.7
other
vmware / esxi7.0.0
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
vmware
cloud_foundation3.0 – 3.10.1.2
vmware
cloud_foundation4.0 – 4.1.0.1
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.
Quellen & Referenzen
- https://www.vmware.com/security/advisories/VMSA-2020-0023.htmlx_refsource_MISC
- https://www.zerodayinitiative.com/advisories/ZDI-20-1377/x_refsource_MISC
- https://www.zerodayinitiative.com/advisories/ZDI-20-1385/x_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3992government-resource