6 de marzo de 2024Seguridad/vulnerabilidades del software de sala de redacción
VMware ha lanzado parches para abordar cuatro fallas de seguridad (incluidas dos fallas críticas que podrían provocar la ejecución de código) que afectan a ESXi, Workstation y Fusion.
Las vulnerabilidades, rastreadas como CVE-2024-22252 y CVE-2024-22253, se describen como un error de uso después de la liberación en el controlador USB XHCI. La puntuación CVSS para estas vulnerabilidades es 9,3 para Workstation y Fusion y 8,4 para sistemas ESXi.
“Una persona malintencionada con privilegios administrativos locales en una máquina virtual podría aprovechar este problema para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host”, dice la compañía en un nuevo aviso.
“Para ESXi, esta vulnerabilidad está contenida dentro del entorno limitado de VMX, pero para Workstation y Fusion, el código podría ejecutarse en la máquina donde está instalado Workstation o Fusion”.
A varios investigadores de seguridad afiliados a Ant Group Light-Year Security Lab y QiAnXin se les atribuye haber descubierto e informado de forma independiente CVE-2024-22252. Los investigadores de seguridad VictorV y Wei son reconocidos por informar CVE-2024-22253.
Además, dos deficiencias solucionadas por el proveedor de servicios de virtualización propiedad de Broadcom son:
CVE-2024-22254 (puntuación CVSS: 7,9): vulnerabilidad de escritura fuera de límites de ESXi. Un atacante malicioso con privilegios privilegiados dentro del proceso VMX podría aprovechar esto para provocar un escape de la zona de pruebas. CVE-2024-22255 (puntuación CVSS: 7,1): vulnerabilidad de divulgación de información del controlador USB UHCI. Un atacante con acceso administrativo a la máquina virtual podría aprovechar esto para perder memoria del proceso vmx.
Estos problemas se resuelven en las siguientes versiones, incluidas las versiones que han llegado al final de su vida útil (EoL) debido a la gravedad del problema.
Como solución temporal hasta que implementemos el parche, pedimos a los clientes que eliminen todos los controladores USB de sus máquinas virtuales.
“Además, los dispositivos USB virtuales/emulados, como las memorias USB virtuales y los dongles de VMware, ya no estarán disponibles en las máquinas virtuales”, dijo la compañía. “Por otro lado, el teclado/ratón predeterminado como dispositivo de entrada, aunque no está conectado mediante el protocolo USB de forma predeterminada, no se ve afectado porque tiene un controlador que realiza la emulación de dispositivo de software en el sistema operativo invitado”.
¿Te pareció interesante este artículo?sígueme Gorjeo Para leer más contenido exclusivo nuestro, visítenos en LinkedIn.
Fuente: https://thehackernews.com/2024/03/vmware-issues-security-patches-for-esxi.html
