VMware-Update-Merkwürdigkeiten …

In diversen VMware-Produkten klafft eine Sicherheitslücke und es soll angeblich ein Sicherheits-Update geben. So die Meldung diverser Webseiten – hier eine kurze Übersicht, was Sache ist.

Mir sind einmal dieser heise.de-Artikel und dieser deskmodder.de-Beitrag diesbezüglich aufgefallen. heise.de schreibt:

Über sechs Lücken im Horizon Client und Workstation können Angreifer Schadcode auf Windows-Systeme schleusen und DoS-Attacken fahren. Dabei verursachen einige Programm-Bibliotheken Fehler bei der Speicherzuweisung. Eine weitere Schwachstelle in Fusion, Player und Workstation provoziert Fehler beim Remote Procedure Call, so sind DoS-Angriffe auf verschiedene Gast- (32 Bit) und Host-Systeme (64 Bit) möglich.

Was mich aber verwunderte: Die Überprüfung auf Updates in VMware Workstation 10.0.5 ergab kein anstehendes Update, sondern nur das "Angebot", die neue VMware Workstation 11-Ausgabe zu kaufen. Nach Ablehnung hätte ich auf VMware Workstation 10.0.6 aktualisieren können – was ich aber momentan nicht will. Auch bei heise.de finden sich entsprechende Leserkommentare.

Ich habe dann etwas recherchiert. Die Meldungen gehen auf diese VMware Security Advisories vom 9.6.2015 zurück. Für meinen Fall: VMware Workstation 10.0.6  ist nicht betroffen – für die Version 10.0.5 soll ein Patch bereitstehen. Geht man aber in den Download-Bereich, stellt man schnell fest, dass nur ein Upgrade vom 5. Mai 2015 auf 10.0.6 verfügbar ist. Offenbar stellt VMware keine Patches für Altversionen bereit, sondern will die Nutzer auf die jeweils neueste Ausgabe der jeweiligen Hauptversion zwingen. Keine Ahnung, ob ich was falsch interpretiere – aber irgendwie nervt dieses halbgare Sicherheit-Update-Geraffel von VMware. Warum gibt es in den jeweiligen Advisories keinen Link auf die jeweiligen Updates? Ich schätze, weil die löhnenden Benutzer sich jeweils bei VMware anmelden müssen, bevor die Downloads möglich sind.