CVE-2020-3950

IMMEDIATE ACTIONS:

1. Identify all VMware Fusion, Remote Console (VMRC), and Horizon Client for Mac installations across the organization

2. Restrict local access to affected systems and disable unnecessary remote access capabilities

3. Implement application whitelisting to prevent unauthorized privilege escalation attempts



PATCHING GUIDANCE:

1. Apply VMware security patches immediately: Fusion 11.5.6+, VMRC 12.0.1+, Horizon Client 5.4.4+ or later

2. Prioritize patching for systems with direct internet exposure or used for critical remote access

3. Test patches in non-production environment before enterprise deployment

4. Maintain offline backup of patch files for rapid deployment



COMPENSATING CONTROLS (if patching delayed):

1. Restrict local user access to affected systems

2. Disable setuid bit on vulnerable binaries if operationally feasible: find /Applications -name '*vmware*' -perm -4000

3. Implement file integrity monitoring on VMware installation directories

4. Enforce strict access controls on VMware configuration files



DETECTION RULES:

1. Monitor for setuid binary execution from VMware installation paths

2. Alert on privilege escalation attempts from non-root users to root

3. Track modifications to /Library/Preferences/VMware* directories

4. Monitor system logs for unauthorized root process spawning from VMware processes

5. Implement EDR rules detecting setuid exploitation patterns

الإجراءات الفورية:

1. تحديد جميع تثبيتات VMware Fusion و Remote Console (VMRC) و Horizon Client لنظام Mac عبر المنظمة

2. تقييد الوصول المحلي للأنظمة المتأثرة وتعطيل قدرات الوصول البعيد غير الضرورية

3. تنفيذ القائمة البيضاء للتطبيقات لمنع محاولات تصعيد الامتيازات غير المصرح بها



إرشادات التصحيح:

1. تطبيق تصحيحات أمان VMware فورًا: Fusion 11.5.6+، VMRC 12.0.1+، Horizon Client 5.4.4+ أو أحدث

2. إعطاء الأولوية لتصحيح الأنظمة ذات التعرض المباشر للإنترنت أو المستخدمة للوصول البعيد الحرج

3. اختبار التصحيحات في بيئة غير الإنتاج قبل النشر على مستوى المؤسسة

4. الحفاظ على نسخة احتياطية غير متصلة من ملفات التصحيح للنشر السريع



الضوابط البديلة (إذا تأخر التصحيح):

1. تقييد وصول المستخدمين المحليين إلى الأنظمة المتأثرة

2. تعطيل بت setuid على الملفات الثنائية الضعيفة إن أمكن: find /Applications -name '*vmware*' -perm -4000

3. تنفيذ مراقبة سلامة الملفات على أدلة تثبيت VMware

4. فرض ضوابط وصول صارمة على ملفات تكوين VMware



قواعد الكشف:

1. مراقبة تنفيذ الملفات الثنائية setuid من مسارات تثبيت VMware

2. التنبيه على محاولات تصعيد الامتيازات من المستخدمين غير الجذر إلى الجذر

3. تتبع التعديلات على أدلة /Library/Preferences/VMware*

4. مراقبة سجلات النظام لتوليد عمليات الجذر غير المصرح بها من عمليات VMware

5. تنفيذ قواعد EDR للكشف عن أنماط استغلال setuid