Mit App Volumes 2606 führt Omnissa erstmals ein integriertes CVE-Reporting für Anwendungen und Pakete ein. Die Funktion befindet sich aktuell noch im Technical-Preview-Status und muss daher zunächst manuell aktiviert werden.
CVE-Erkennung aktivieren
Nach dem Update auf App Volumes 2606 erfolgt die Aktivierung im App Volumes Manager unter:
Configuration → Settings → Advanced Settings
NVD-API-Schlüssel und Scanintervall
Für die Abfragen an die National Vulnerability Database lässt sich in App Volumes ein NVD-API-Schlüssel hinterlegen.
Hier kann man sich einen API Key erstellen: https://nvd.nist.gov/developers/request-an-api-key NVD – API Key Request
Dort wird die Option für das CVE Reporting aktiviert. Anschließend analysiert App Volumes die erkannten Anwendungen und Paketversionen und gleicht diese mit öffentlich verfügbaren Schwachstelleninformationen ab.
Dies erledigt App Volumes mit einem Job, der alle 24 Stunden einmal läuft. Bei mir in der Testumgebung habe ich das auf 12 Stunden reduziert.
Als Datenquellen nennt Omnissa unter anderem:
- National Vulnerability Database (NVD)
- Cybersecurity and Infrastructure Security Agency (CISA)
- Open Source Vulnerabilities Database (OSV)
Damit die Zuordnung funktioniert, müssen Anwendungsname und Version innerhalb des Pakets möglichst eindeutig erkannt werden können.
Ergebnisse in der App-Volumes-GUI
Nach der Aktivierung ergänzt App Volumes die Verwaltungsoberfläche um Informationen zu erkannten Schwachstellen. Administratoren können die CVE-Ergebnisse sowohl auf Ebene der Applications als auch der einzelnen Packages einsehen.
Unterhalb von Applications:
Unterhalb von Packages:
Angezeigt werden unter anderem:
- erkannte CVE-Nummern
- Schweregrad der Schwachstelle
- CVSS-Score
- betroffene Anwendung beziehungsweise Paketversion
- weiterführende Informationen zur jeweiligen Schwachstelle
Erkannte Schwachstellen (Beispiel Sublime Text):
Dadurch lässt sich schneller erkennen, welche App-Volumes-Pakete priorisiert aktualisiert, neu paketiert oder aus der Bereitstellung genommen werden sollten. Besonders hilfreich ist die Anzeige beim Wechsel eines Pakets durch individuelle Lifecycle-Stufen wie „Tested“, „Approved“ oder „Published“.
Grenzen der Technical Preview
Das CVE-Reporting ist in Version 2606 ausdrücklich als Technical Preview gekennzeichnet. Die Funktion sollte daher zunächst in einer Testumgebung evaluiert und nicht als alleinige Grundlage für Schwachstellen- oder Compliance-Entscheidungen verwendet werden.
Falsch-positive Ergebnisse oder eine nicht vollständig erkannte Anwendungsversion sind insbesondere bei herstellerspezifischen, stark angepassten oder gemeinsam paketierten Anwendungen möglich. Die angezeigten Treffer sollten deshalb immer mit den Informationen des Softwareherstellers und den offiziellen CVE-Einträgen abgeglichen werden.
Fazit
Das neue CVE-Reporting ist eine sinnvolle Erweiterung für das Application Lifecycle Management in App Volumes. Sicherheitsrisiken werden direkt dort sichtbar, wo Anwendungen paketiert, getestet und veröffentlicht werden. Trotz Technical-Preview-Status bietet die Funktion bereits einen interessanten Ansatz, um Security- und EUC-Betrieb enger miteinander zu verbinden.
Autor: Tobias Kietzmann, IT-Consultant bei Mightycare & Omnissa Tech Insider
Sie haben Fragen zum Artikel oder sind auf der Suche nach einer passenden VDI-Lösung?
Wir beraten Sie gerne in einem kostenlosen Fachgespräch.
Mehr über das verwendete Produkte in diesem Beitrag erfahren Sie hier:
