Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

VMware Fusion 7.x.x
VMware Player 7.x.x
VMware Workstation 11.x.x
VMware ESXi 5.0
VMware ESXi 5.1
VMware ESXi 5.5
VMware ESXi 6.0

Betroffene Plattformen:

Apple Mac OS X
Microsoft Windows
VMware ESXi

Eine Schwachstelle in den VMware Produkten Workstation, Player, Fusion und
ESXi ermöglicht einem lokalen, nicht authentifizierten Angreifer die
Eskalation seiner Privilegien auf einem Windows-Gastsystem. Eine Eskalation
der Privilegien von dem Gast-System auf das Host-System ist nicht möglich.

VMware stellt Sicherheitsupdates für die Produkte VMware ESXi 5.0, 5.1, 5.5
und 6.0 sowie VMware Workstation 11.x.x, VMware Player 7.x.x und VMware
Fusion 7.x.x (nur Apple Mac OS X) bereit.

Nach dem Update auf einem ESXi System müssen die VMware Tools auf jedem
Windows-Gastsystem, dass das “Shared Folders”-Feature (HGFS) besitzt,
aktualisiert werden.

Workaround:

Das Entfernen des “Shared Folders”-Features (HGFS) aus zuvor installierten
VMware Tools entfernt die Möglichkeit zur Privilegieneskalation.

Patch:

VMware Security Advisory VMSA-2016-0001

https://www.vmware.com/security/advisories/VMSA-2016-0001

CVE-2015-6933: Schwachstelle in VMware Tools ermöglicht
Privilegieneskalation

Es existiert eine nicht näher beschriebene Schwachstelle im VMware Tools
‘Shared Folders’-Feature (HGFS), wenn die VMware Tools unter Microsoft
Windows genutzt werden, die auf einer Korrumpierung des Kernel-Speichers
beruht.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0033/

VMware Security Advisory VMSA-2016-0001:
https://www.vmware.com/security/advisories/VMSA-2016-0001

Schwachstelle CVE-2015-6933 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6933

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.