Broadcom warnt vor fünf Sicherheitslücken in VMware Aria Operations for Logs und VMware Aria Operations sowie VMware Cloud Foundation. Angreifer können unbefugt auf Informationen zugreifen und so etwa Zugangsdaten ausspähen, und damit weiteren Schaden anrichten.
Anzeige
In der Sicherheitsmitteilung schreiben die VMware-Entwickler, dass bösartige Akteure mit Nur-Lesen-Admin-Rechten die Zugangsdaten von VMware-Produkten auslesen können, die in VMware Aria Operations for Logs hinterlegt sind (CVE-2025-22218, CVSS 8.5, Risiko "hoch"). Außerdem können Angreifer mit nicht-administrativen Berechtigungen ein Informationsleck missbrauchen, um Zugangsdaten für ein Plug-in zu erlangen, sofern sie eine gültige Dienst-Zugangs-ID kennen (CVE-2025-22222, CVSS 7.7, "hoch").
Weiterhin meldet Broadcom eine Stored Cross-Site-Scripting-Schwachstelle in VMware Operations for Logs, durch die Angreifer bösartige Skripte einschleusen können, die beliebige Operationen als Admin ausführen kann (CVE-2025-22219, CVSS 6.8, mittel). Eine ähnlich gelagerte Lücke ermöglicht Angreifern mit Admin-Rechten, ein Skript in Browser von Opfern einzuschmuggeln, was ausgeführt wird, wenn diese eine Lösch-Operation in der Agent-Konfiguration anstoßen (CVE-2025-22221, CVSS 5.2, mittel). Schließlich können aufgrund defekter Rechteprüfungen nicht-administrative Nutzerkonten mit Netzwerkzugriff auf die Aria Operations for Logs-API einige Aufgaben im Kontext eines Admin-Nutzers ausführen (CVE-2025-22220, CVSS 4.3, mittel).
Die Sicherheitslücken schließen VMware Aria for Operations und VMware Aria for Operations for Logs mit der Version 8.18.3. Für VMware Cloud Foundation 4.x und 5.x wurden bereits am Donnerstag Updates bereitgestellt, die mit dem VMware Aria Suite Lifecycle Manager ausgerollt werden können.
Erst am Mittwoch dieser Woche hatte Broadcom VMware-Administratorinnen und -Administratoren in Wallung gebracht. Eine als hochriskant eingestufte Sicherheitslücke im Avi Load Balancer ermöglichte Angreifern, mittels SQL-Injection Befehle an die Datenbank abzusetzen und unbefugt darauf zuzugreifen.
(
Kommentare