Attacken auf VMware vCenter durch Path-Traversal-Lücke

Was geschehen ist – die Kernmeldung

IT-Sicherheitsforscher haben eine besorgniserregende Kampagne aufgedeckt, bei der bösartige Akteure gezielt den VMware vCenter Syslog Server angreifen. Im Zentrum der Aktivitäten steht eine schwerwiegende Path-Traversal-Schwachstelle, die es den Angreifern ermöglicht, Schadcode in die betroffenen Systeme einzuschleusen und dort dauerhaft Fuß zu fassen. Die Entdeckung dieser Aktivitäten wurde durch die Experten von Quirso publik gemacht, die ihre Erkenntnisse auf der Plattform Medium geteilt haben. Die Angriffe begannen unmittelbar nach der öffentlichen Bekanntgabe der Sicherheitslücke Ende Juli dieses Jahres. Die Täter nutzen die Schwachstelle aus, um sich in den Systemen einzunisten und eine dauerhafte Kontrolle über die kompromittierten Infrastrukturen zu erlangen. Die Ausmaße der Kampagne sind bereits jetzt signifikant, da Hunderte von IP-Adressen weltweit mit den Angriffen in Verbindung gebracht werden konnten. Die Situation ist als äußerst kritisch einzustufen, da die Schwachstelle mit einem CVSS-Wert von 9.8 bewertet wurde, was das höchste Gefahrenpotenzial für IT-Umgebungen widerspiegelt. Admins sind nun weltweit dazu aufgerufen, ihre Systeme umgehend zu prüfen und die bereitgestellten Sicherheitsupdates einzuspielen, um eine weitere Ausbreitung der Angriffe zu verhindern und ihre Netzwerke gegen unbefugte Zugriffe abzusichern.

Die Einzelheiten der Sicherheitslücke

Die technische Schwachstelle, die unter der Kennung CVE-2026-59310 geführt wird, betrifft den VMware vCenter Syslog Server. Es handelt sich um eine sogenannte Path-Traversal-Lücke, die es Angreifern erlaubt, Dateipfade zu manipulieren und so unbefugten Zugriff auf sensible Bereiche des Systems zu erhalten. Broadcom, der Hersteller hinter VMware, hat bereits Ende Juli auf die Gefahr reagiert und entsprechende Sicherheits-Patches veröffentlicht. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft, was die Dringlichkeit unterstreicht. Die betroffenen Softwarestände erfordern ein Update auf die Versionen VMware vCenter 9.1.0.0300, 9.0.2.0100, 8.0 U3k oder 8.0 U2f, um die Sicherheitslücke effektiv zu schließen. Die Forscher von Quirso haben bei ihrer Analyse der kompromittierten Geräte eine erschreckende Zahl von 361 betroffenen IP-Adressen identifiziert. Deutschland ist dabei mit 55 betroffenen Instanzen am stärksten betroffen, gefolgt von den USA mit 41 und der Türkei mit 38 IP-Adressen. Die zeitliche Abfolge der Angriffe ist präzise dokumentiert: Die Schwachstelle wurde am 29. Juli bekannt, und bereits am 3. August begannen erste infizierte Systeme, die Infrastruktur der Angreifer zu kontaktieren. Nur zwei Tage später, am 5. August, war die Zahl der identifizierten, unterwanderten Instanzen bereits auf 343 angestiegen, was die hohe Geschwindigkeit und Effizienz der Angriffskampagne verdeutlicht.

Hintergrund und bisheriger Verlauf

Die Geschichte dieser Sicherheitslücke begann mit der offiziellen Warnung von Broadcom Ende Juli, als die Path-Traversal-Schwachstelle im vCenter Syslog Server identifiziert wurde. Seit diesem Zeitpunkt stellt der Hersteller Softwareflicken bereit, um die Lücke zu schließen. Es ist bemerkenswert, dass es nach Angaben der Sicherheitsforscher keine temporären Gegenmaßnahmen gibt, die das Risiko ohne ein vollständiges Update reduzieren könnten. Die einzige wirksame Verteidigungsstrategie besteht in der Aktualisierung auf die korrigierten Softwarestände. Die Kampagne der Angreifer startete fast zeitgleich mit der Veröffentlichung der Sicherheitsinformationen, was darauf hindeutet, dass die Täter die Zeitspanne zwischen der Bekanntgabe der Lücke und der Implementierung der Patches durch die Administratoren gezielt ausnutzen. Die IT-Sicherheitsforscher von Quirso haben die betroffenen Systeme untersucht und dabei festgestellt, dass die Angreifer nicht nur punktuell zugreifen, sondern sich dauerhaft in den Systemen einnisten. Die schnelle Zunahme der infizierten IP-Adressen innerhalb weniger Tage nach dem 3. August zeigt, dass die Angreifer über automatisierte Prozesse verfügen, um verwundbare Ziele im Internet aufzuspüren und die Schwachstelle systematisch auszunutzen, sobald diese bekannt geworden ist.

Die Beteiligten und ihre Rollen

Im Zentrum der Ereignisse stehen die IT-Sicherheitsforscher von Quirso, die als Entdecker und Analysten der Angriffskampagne fungieren und ihre Ergebnisse der Öffentlichkeit zur Verfügung gestellt haben. Auf der Herstellerseite ist Broadcom die entscheidende Institution, die für die Bereitstellung der Sicherheitsupdates und die Kommunikation der Schwachstelle verantwortlich ist. Broadcom hat eine Sicherheitsmitteilung veröffentlicht, die jedoch zum Zeitpunkt der Berichterstattung noch keine expliziten Hinweise auf die laufenden, spezifischen Angriffe enthielt. Die betroffenen Akteure sind die Administratoren und IT-Verantwortlichen weltweit, die VMware vCenter-Instanzen in ihren IT-Umgebungen betreiben. Sie sind nun dazu aufgerufen, die Sicherheitsmitteilungen von Broadcom genau zu studieren und die notwendigen Installationsschritte durchzuführen. Die Angreifer selbst bleiben anonym, agieren jedoch mit einer professionellen Vorgehensweise, indem sie das Framework reverse_ssh für ihre Zwecke missbrauchen. Dieses Werkzeug, das eigentlich für legitime Pentesting-Zwecke entwickelt wurde, bietet den Angreifern Funktionen wie SSH-Port-Forwarding und Dateitransfer, um die Kontrolle über die Systeme zu festigen. Die Forscher von Quirso leisten hierbei einen wesentlichen Beitrag zur Aufklärung, indem sie den Missbrauch dieser Werkzeuge dokumentieren und die IT-Community warnen.

Einordnung der Bedrohung

Einzuordnen ist diese Entwicklung als ein klassisches Beispiel für die Ausnutzung von Zeitfenstern nach der Veröffentlichung von Schwachstellen, dem sogenannten „Patch-Gap“. Den Berichten zufolge ist die Schwachstelle mit einem CVSS-Wert von 9.8 als kritisch einzustufen, was bedeutet, dass sie ohne großen Aufwand von außen ausgenutzt werden kann und weitreichende Berechtigungen auf dem System ermöglicht. Die Verwendung von „reverse_ssh“ deutet darauf hin, dass die Angreifer ein hohes Interesse an einer dauerhaften Präsenz in den Netzwerken haben. Einzuordnen ist das so, dass die Angreifer nicht nur kurzfristig Daten abgreifen, sondern die kompromittierten vCenter-Server als Sprungbrett für weitere Aktivitäten innerhalb der betroffenen Unternehmensnetzwerke nutzen könnten. Die Tatsache, dass Deutschland bei der Anzahl der betroffenen IP-Adressen an erster Stelle steht, unterstreicht die Relevanz der Bedrohung für den hiesigen IT-Standort. Den Berichten zufolge ist das Risiko für Unternehmen, die ihre Systeme nicht zeitnah aktualisieren, als extrem hoch einzustufen, da die Angreifer über die notwendigen Werkzeuge verfügen, um die Kontrolle über die Virtualisierungsinfrastruktur vollständig zu übernehmen und diese für ihre Zwecke zu manipulieren.

Offene Fragen und Lücken

Der vorliegende Quelltext lässt einige Fragen offen, die für ein vollständiges Verständnis der Bedrohungslage wichtig wären. So wird zwar die Anzahl der betroffenen IP-Adressen und deren geografische Verteilung genannt, es bleibt jedoch unklar, ob die Angreifer bereits erfolgreich Daten aus den kompromittierten Systemen exfiltriert haben oder ob der Fokus primär auf der Etablierung einer dauerhaften Präsenz liegt. Ebenso wenig wird detailliert erläutert, welche spezifischen Arten von Unternehmen oder Institutionen in den betroffenen Ländern (Deutschland, USA, Türkei) primär angegriffen wurden. Es fehlen Informationen darüber, ob die Angreifer neben der Installation von „reverse_ssh“ noch weitere Schadsoftwarekomponenten einsetzen oder ob sie die Schwachstelle zur lateralen Bewegung innerhalb der Netzwerke nutzen. Zudem bleibt offen, ob Broadcom plant, weitere Schutzmaßnahmen oder Warnungen spezifisch für diese Angriffskampagne herauszugeben, da die bisherige Sicherheitsmitteilung laut den Forschern keine Hinweise auf die laufenden Attacken enthielt. Auch die Identität oder die Hintergründe der Angreifer werden im Quelltext nicht thematisiert, sodass über die Urheberschaft der Kampagne nur spekuliert werden kann.

Wie es weitergeht

Für Administratoren und IT-Verantwortliche ist der weitere Weg klar definiert: Sie müssen ihre VMware-vCenter-Syslog-Server einer sofortigen Überprüfung unterziehen. Es gilt sicherzustellen, dass die Systeme auf dem aktuellen Stand sind und die von Broadcom bereitgestellten Sicherheitsupdates eingespielt wurden. Die IT-Forscher empfehlen zudem, besonders wachsam zu sein und die laufenden Prozesse auf den Instanzen zu überwachen. Sollte unerwartete Software wie „reverse_ssh“ auf den Systemen entdeckt werden, ist dies ein deutliches Indiz für eine Kompromittierung, die sofortige Maßnahmen zur Bereinigung und Incident-Reaktion erfordert. Da keine temporären Gegenmaßnahmen zur Risikoreduktion existieren, ist die Installation der Updates die einzige verbleibende Option für Betroffene. Es ist davon auszugehen, dass die Sicherheitsforscher von Quirso die weitere Entwicklung und die Aktivitäten der Angreifer beobachten werden, um bei neuen Erkenntnissen erneut zu warnen. Die IT-Community ist angehalten, die offiziellen Sicherheitsmitteilungen von Broadcom kontinuierlich zu verfolgen, um über etwaige weitere notwendige Schritte oder ergänzende Sicherheitshinweise informiert zu bleiben.