Mobile-Menu

Omnissa Workspace One UEM VMware-Sicherheitslücke von 2021 heute aktiv ausgenutzt

Von Melanie Staudacher 4 min Lesedauer

Derzeit laufen aktive Cyberangriffe, bei denen Hacker jahrealte Si­cher­heits­lücken ausnutzen, darunter auch in VMware Workspace One UEM. Alle iden­ti­fizierten Schwachstellen haben eine enorm hohe Ausnutzungs­wahr­schein­lich­keit, was auf unzureichendes Patch-Management schließen lässt.

Ältere Sicherheitslücken sind für Hacker besonders interessant, da sie häufig in vielen Organisationen ungesichert bleiben, was die Wahrscheinlichkeit ihrer Ausnutzung erhöht. DIes führt zu oftmals sehr hohen EPSS-Scores.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Ältere Sicherheitslücken sind für Hacker besonders interessant, da sie häufig in vielen Organisationen ungesichert bleiben, was die Wahrscheinlichkeit ihrer Ausnutzung erhöht. DIes führt zu oftmals sehr hohen EPSS-Scores.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Eine Sicherheitslücke aus dem Jahr 2021 sorgt derzeit für Unklarheit. Denn zum einen heißt das betroffene Produkt nicht mehr VMware Workspace One UEM, sondern Omnissa Workspace One UEM. Und zum anderen führt deshalb der Link zum VMware-Sicherheitshinweis auf eine Fehl­meldung. Was steckt hinter der Schwachstelle CVE-2021-22054 und wie können Unter­neh­men sich schützen?

Extrem hohe Ausnutzungswahrscheinlichkeit

Die Schwachstelle CVE-2021-22054 mit einem CVSS-Score von 7.5 hat von der European Vul­nerability Database (EUVD) die ID EUVD-2021-9219* sowie einen EPSS-Score von 93.79 Pro­zent zugewiesen bekommen. Dieser Wert, der die Wahrscheinlichkeit einer Ausnutzung in­ner­halb der nächsten 30 Tage angibt, ist enorm hoch. Und mittlerweile ist bestätigt, dass die Sicher­heitslücke aktiv ausgenutzt wurde, denn die CISA hat sie am 9. März 2026 in ihren Katalog der „known exploited vulnerabilities“ aufgenommen. Demnach haben US-Behörden bis zum 23. März 2026 Zeit, die Sicherheitslücke zu schließen.

Was über EUVD-2021-9219 / CVE-2021-22054 bekannt ist

Bisher wissen wir über EUVD-2021-9219 / CVE-2021-22054, dass sie die Workspace-One-UEM-Versionen 20.0.8 bis 20.0.8.37, 20.11.0 bis 20.11.0.40, 21.2.0 bis 21.2.0.27 und 21.5.0 bis 21.5.0.37 be­trifft. Diese Information ist noch aus Dezember 2021. Die damaligen Sicherheitshinweise be­schrie­ben das Problem dahinter als SSRF-Schwachstelle (Server-Side Request Forgery), die es Angreifern mit Netzwerkzugriff auf die Lösung erlaubt, Anfragen ohne Authentifizierung zu senden und so möglicherweise Zugriff auf sensible Daten zu erhalten.

EUVD-2021-9219 / CVE-2021-22054 in aktuellen Angriffen

Doch wo kriegen betroffene Unternehmen aktuelle Informationen zum Patchen her? Schließ­lich führt der Link, den die CVE-Datenbank von Mitre teilt, und auf den auch die EUVD und die National Vulnerability Database verweisen (Stand 16. März 2026), auf eine leere Seite. Dies liegt vermutlich daran, dass die betroffene Lösung nicht mehr unter dem ursprünglichen Namen VMware Workspace One UEM vertrieben wird. Im April 2024 wurde sie im Rahmen des Verkaufs von VMware an Broadcom und der Übernahme der End-User-Computing-Sparte von VMware durch KKR, zu Omnissa Workspace One UEM umbenannt.

Aktuelle Informationen zu EUVD-2021-9219 / CVE-2021-22054 liefert der Hersteller Greynoise in einer Analyse. Greynoise berichtet von einer Zunahme von SSRF-Ausnutzungen, die im direkten Zusammenhang mit der Omnissa-Schwachstelle stehen würden. Neben mindestens elf anderen Schwachstellen hätten die Analysten beobachtet, wie auch EUVD-2021-9219 / CVE­2021-22054 in aktuellen Angriffskampagnen ausgenutzt würde. Der Hersteller stellt eine bereit, die die Webseite Ausnutzungsaktivitäten in Echtzeit abbildet und schädliche IP-Adressen nennt. Um an diese zu gelangen, muss man allerdings einen Account bei Greynoise erstellen. In den letzten zehn Tagen wurden zwei IP-Adressen beobachtet, die die Forscher mit böswilligen Aktivitäten in Verbindung gebracht hätten:

  • 163.245.213.223
  • 93.123.109.205

Nutzer von Omnissa Workspace One UEM sollten diese IPs blockieren.

Die gepatchten Versionen der Lösung sind:

  • 20.0.8.37 oder höher
  • 20.11.0.40 oder höher
  • 21.2.0.27 oder höher
  • 21.5.0.37 oder höher

Security-Learning

Auffällig ist, dass die weiteren Schwachstellen, die Greynoise neben EUVD-2021-9219 / CVE-2021-22054 in aktiven Angriffen beobachtet habe, alle schon mindestens zwei Jahre alt sind und einen enorm hohen EPSS-Score haben:

Alte Sicherheitslücken sind beliebte Einfallstore für Cyberkriminelle, da es viele Organisationen versäumen, ihre Systeme regelmäßig zu aktualisieren und Sicherheitsupdates anzuwenden. Dies führt dazu, dass verwundbare Software und Anwendungen weiterhin in der Pro­duk­tions­um­ge­bung bestehen, was Angreifern die Möglichkeit bietet, diese Schwachstellen auszunutzen. Da häufig verwendete Softwarepakete in zahlreichen Unternehmen im Einsatz sind, erhöht sich die Anzahl der potenziellen Ziele erheblich. Für Cyberkriminelle bedeutet dies, dass sie mit einer einzigen Ausnutzung einer Schwachstelle viele Systeme gleichzeitig angreifen können.

Ein weiterer Faktor, der alte Sicherheitslücken attraktiv macht, ist die Möglichkeit, auto­ma­ti­sier­te Tools zu verwenden, die speziell dafür entwickelt wurden, nach bekannten Schwach­stel­len zu scannen und diese auszunutzen. Cyberkriminelle können damit umfangreiche Netz­wer­ke nach anfälligen Systemen durchsuchen und so ihre Chancen erhöhen, in ein Unternehmen einzudringen. Deshalb sollten CISOs und Informations­sicherheitsbeauftragte proaktive Stra­te­gien implementieren, die auf eine kontinuierliche Verbesserung der Sicherheitslage abzielen. Dazu zählen ein robustes Schwachstellenmanagement-Programm einzuführen, das regel­mä­ßi­ge Scans und Bewertungen umfasst, sowie die Identifizierung von verwundbaren Systemen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Darüber hinaus empfehlen die Analysten von Greynoise zum Schutz vor der aktuellen Angriffswelle,

  • betroffene Systeme zu patchen und zu härten,
  • ausgehenden Zugriff einschränken,
  • ausgehende Verbindungen von internen Anwendungen auf die unbedingt notwendigen Endpunkte zu beschränken,
  • verdächtige ausgehende Anfragen zu überwachen,
  • Warnungen für unerwartete ausgehende Anfragen einzurichten sowie
  • schädliche IP-Adressen zu blockieren und Aktivitäten zu überwachen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50785835)

Weiterführende Inhalte