Broadcom warnt vor teils hochriskanten Sicherheitslücken in der Netzwerkvirtualisierungs- und Sicherheitsplattform VMware NSX. Angreifer können unter anderem Schadcode einschleusen und ausführen. IT-Verantwortliche sollten zügig auf die fehlerbereinigten Versionen aktualisieren.

In einer Sicherheitsmitteilung schreibt Broadcom, dass die Schwachstellen im Privaten an das Unternehmen gemeldet wurden. Aktive Angriffe darauf sind demnach noch nicht bekannt.

Am gravierendsten gilt dem Hersteller eine Stored Cross-Site-Scripting-Lücke (XSS) in der Manager-UI. Die kann aufgrund unzureichender Prüfung von übergebenen Daten auftreten. Angreifer mit Berechtigungen, Netzwerkeinstellungen zu erstellen oder zu modifizieren, können dadurch bösartigen Code einschleusen, der bei der Anzeige der Netzwerkeinstellungen zur Ausführung kommt (CVE-2025-22243 / EUVD-2025-16910, CVSS 7.5, Risiko "hoch").

In der Gateway Firewall können Angreifer ebenfalls eine Stored Cross-Site-Scripting-Lücke missbrauchen. Wenn sie Rechte besitzen, die Antwort-Seite für URL-Filterung zu erstellen oder zu verändern, können sie bösartigen Code einschleusen, der bei versuchtem Zugriff auf eine gefilterte Webseite ausgeführt wird (CVE-2025-22244 / EUVD-2025-16909, CVSS 6.9, Risiko "mittel"). Auch im Router-Port führt unzureichende Filterung von Eingaben dazu, dass Angreifer eine Stored Cross-Site-Scripting-Schwachstelle zum Einschleusen von Schadcode missbrauchen können, sofern sie Rechte zum Erstellen oder Verändern von Router-Ports haben. Der Code wird ausgeführt, sofern jemand versucht, auf den Router-Port zuzugreifen (CVE-2025-22245 / EUVD-2025-16908, CVSS 5.9, Risiko "mittel").

Die Schwachstellen korrigiert Broadcom in VMware NSX 4.2.2.1, 4.2.1.4 und 4.1.2.6 sowie in VMware Cloud Foundation 4.2.2.1 und 4.1.2.6. Für die verwundbaren VMware Telco Cloud Platform und Infrastructure nennt Broadcom Aktualisierungsmöglichkeiten in einem eigenen Knowledgebase-Artikel.

Jetzt heise Security Pro entdecken

Jetzt heise Security Pro entdecken

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Dieser Link ist leider nicht mehr gültig. Links zu verschenkten Artikeln werden ungültig, wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden. Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung! Wochenpass bestellen

Sie haben heise+ bereits abonniert? Hier anmelden.

Oder benötigen Sie mehr Informationen zum heise+ Abo

Original Link
(Ursprünglich geschrieben von Heise)