KritischCVE-2024-38812

    VMware vCenter Server: Heap-basierter Pufferüberlauf (CVE-2024-38812)

    Veröffentlicht In CISA KEV seit Quellen: pwn.watch, CVE.org, SingCERT

    Teilen

    Was ist betroffen, was ist zu tun

    Der vCenter Server enthält eine Heap-Überlauf-Schwachstelle in der Implementierung des DCERPC-Protokolls. Ein böswilliger Akteur mit Netzwerkzugriff auf den vCenter Server kann diese Schwachstelle auslösen, indem er ein speziell gestaltetes Netzwerkpaket sendet, was potenziell zu einer Ferncodeausführung führen könnte.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie cloud_foundation auf Version 5.2. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • VMware vCenter Server gte 8.0..*
    • VMware vCenter Server gte 7.0..*
    • VMware Cloud Foundation eq 5.x..5.x
    • VMware Cloud Foundation eq 4.x..4.x

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    9,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    9,8

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: pwn.watch, CVE.org, SingCERT

    54,6 %

    EPSS-Score

    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.

    Quelle: FIRST EPSS, Perzentil 99,02

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    233.65 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutzt
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,8
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    54,6 %
    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,02
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 20. November 2024
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-122

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    vCenter ist die zentrale Steuerungsebene der virtualisierten Infrastruktur. Eine Codeausführung ohne Authentifizierung und ohne Benutzerinteraktion, die über das Netz erreichbar ist, gibt Angreifern Kontrolle über sämtliche VMs, einschließlich Domain Controllern und Backup-Servern. Die Ausnutzungswahrscheinlichkeit gilt als sehr hoch, die CVE zählt zu den am wahrscheinlichsten ausgenutzten Schwachstellen. Zusätzlich verschärft der zunächst unvollständige Hersteller-Fix das Risiko, dass vermeintlich gepatchte Systeme weiterhin verwundbar sind. Auch ohne CISA-Kennzeichnung einer Ransomware-Nutzung ist die Schwachstelle für KRITIS- und NIS2-Organisationen als kritisch einzustufen. Die Behebung sollte bei exponierten Instanzen sofort erfolgen, bei rein intern erreichbaren Instanzen im nächsten Notfall-Wartungsfenster nach Durchsetzung der Netzrestriktionen.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Inventarisierung und Exponierungsprüfung: Alle vCenter-Server-Instanzen (7.0, 8.0) sowie VMware-Cloud-Foundation-Umgebungen (4.x, 5.x) erfassen. Instanzen, deren Managementschnittstellen aus dem Internet, aus Partnernetzen oder aus Benutzer-VLANs erreichbar sind, haben höchste Priorität.
      • Hersteller-Patch einspielen: Der Patch ist beim Hersteller verfügbar. Die Version bitte im VMware/Broadcom-Security-Advisory zu CVE-2024-38812 nachschlagen. Für Cloud Foundation ist laut Kontext der Fix in 5.2 enthalten. Der ursprünglich veröffentlichte Fix wurde vom Hersteller nachgebessert. Prüfen Sie deshalb, dass tatsächlich der aktuellste im Advisory genannte Build installiert ist und nicht nur das erste Update.
      • Netzzugang sofort einschränken, wenn kein Patch möglich ist: Laut Hersteller gibt es keinen praktikablen Workaround im Produkt selbst. Den Zugriff auf vCenter (TCP 443 sowie alle DCERPC-Endpunkte, z. B. TCP 135, sofern exponiert) per Firewall auf dedizierte Admin-Jump-Hosts beschränken.
      • Kompromittierungsbewertung vor dem Patch: Snapshot oder Backup der VCSA sowie Log-Sicherung von /var/log/vmware/ und /storage/core/ durchführen. Ein Patch entfernt keine bereits etablierte Persistenz.
      • Zugangsdaten rotieren bei Verdacht: Bei Anzeichen einer Kompromittierung administrator@vsphere.local, das Root-Passwort der VCSA, Service-Accounts mit vCenter-Rechten und die ESXi-Root-Passwörter rotieren. Die SSO-Identitätsquellen auf neue Einträge prüfen.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung: vCenter gehört in ein dediziertes Management-VLAN. Eingehender Verkehr ist nur von PAWs bzw. Jump-Hosts mit MFA erlaubt, Ost-West-Verkehr aus Server- und Client-Netzen wird verworfen. Ausgehend sollte die VCSA nur Update-, NTP-, DNS- und Syslog-Ziele erreichen dürfen. Das unterbindet Reverse Shells und Nachladen von Schadcode.
      • IPS/NDR: DCERPC-Inspektion auf Segmentübergängen zum Management-Netz aktivieren. Prüfen Sie, ob Ihr Hersteller (Suricata ET, Snort/Talos, Palo Alto, Fortinet) Signaturen für CVE-2024-38812 bereitstellt, und schalten Sie diese auf „block“. Zusätzlich sollte eine generische Regel auf DCERPC-Bind- oder Request-Pakete mit anomaler Fragmentlänge zum vCenter alarmieren.
      • Härtung der Appliance: SSH und Bash-Shell auf der VCSA deaktivieren, solange sie nicht benötigt werden. Den VAMI-Zugang (TCP 5480) auf Admin-Hosts beschränken. Die lokale Firewall der VCSA (VAMI → Firewall) als zweite Schicht mit Allowlist konfigurieren.
      • IAM/Least Privilege: vCenter von der produktiven AD-Domäne entkoppeln oder mindestens dedizierte Admin-Konten mit MFA nutzen. Die Gruppenmitgliedschaft „Administrators“ minimieren. Damit wird ein Übergriff vom AD auf den Hypervisor erschwert und umgekehrt.
      • Resilienz: Unveränderliche (immutable) Backups der VMs außerhalb der vCenter-Vertrauensdomäne vorhalten. Eine kompromittierte vCenter-Instanz erlaubt die Massenverschlüsselung oder Löschung von VMs.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Dienstabstürze und Core-Dumps: Neue Dateien in /storage/core/ sowie Neustarts von vmdird, vmafdd, dcerpcd oder lwsmd in /var/log/vmware/ sind wichtige Indikatoren, denn Heap-Overflow-Versuche erzeugen häufig Crashes. Sigma-Gestalt: logsource: linux/file_event; TargetFilename|startswith: '/storage/core/core.'.
      • Anomale Prozessabstammung (auditd/EDR): Shells oder Netzwerk-Tools als Kindprozesse von vCenter-Diensten sind verdächtig. Beispiel-SPL: index=linux host=vcsa* sourcetype=auditd type=EXECVE (exe="/bin/bash" OR exe="/usr/bin/curl" OR exe="/usr/bin/wget" OR exe="/usr/bin/python*") | where ppid_name IN ("vmdird","vmafdd","dcerpcd","lwsmd").
      • Netzwerk-Telemetrie (Zeek/Suricata): In dce_rpc.log auf DCERPC-Sitzungen zur VCSA von Quellen außerhalb der Admin-Allowlist achten. Die VCSA selbst sollte keine ausgehenden Verbindungen zu unbekannten externen IPs aufbauen. KQL-Idee: CommonSecurityLog | where DestinationIP in (vcsa_ips) and DestinationPort == 135 and SourceIP !in (admin_hosts).
      • Persistenz-Artefakte: Neue lokale Linux-Benutzer, Änderungen an /etc/passwd, /root/.ssh/authorized_keys oder Cron-Einträgen, unbekannte Binaries unter /tmp oder /var/tmp sowie aktiviertes SSH ohne Change-Ticket. Ergänzend in der vCenter-Ereignisansicht auf neue SSO-Benutzer, Rollenänderungen und das Klonen oder Exportieren von VMs (z. B. Domain Controller) achten.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Der vCenter Server enthält eine Heap-Überlauf-Schwachstelle in der Implementierung des DCERPC-Protokolls. Ein böswilliger Akteur mit Netzwerkzugriff auf den vCenter Server kann diese Schwachstelle auslösen, indem er ein speziell gestaltetes Netzwerkpaket sendet, was potenziell zu einer Ferncodeausführung führen könnte.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: pwn.watch, cvelistv5, CSA/SingCERT, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    —VMware Cloud Foundation
    • 4.x
    • 5.x
    • —
    • —
    —VMware vCenter Server
    • ≥ 7.0
    • ≥ 8.0
    • —
    • —
    vmwarecloud_foundation
    • 4.0 – < 5.2
    • 5.2
    vmwarevcenter_server
    • 7.0
    • 8.0
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-122Heap-based Buffer Overflow

      Variant

      A heap overflow condition is a buffer overflow, where the buffer that can be overwritten is allocated in the heap portion of memory, generally meaning that the buffer was allocated using a routine such as malloc().

      Eintrag bei MITRE CWE-122

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt

    Quellen & Referenzen

    • support.broadcom.comVMware advisory: CVE-2024-38812Herstellerhinweis, pwn-watch
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38812government-resource, US-Behörde
    • pwn.watchpwn.watch: VMware vCenter Server: 2 actively exploited vulnerabilitiespwn-watch
    • NVD (NIST)NVD: CVE-2024-38812pwn-watch
    • NVD (NIST)NVD: CVE-2024-38813pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2024-38812
    <a href="https://intel.neosec.eu/cve/CVE-2024-38812"><img src="https://intel.neosec.eu/badge/cve/CVE-2024-38812.svg" alt="CVE-2024-38812 – NEOSEC Intel" height="20"></a>