Vulnerabilidades Criticas en VMware ESxi, Fusion y Workstation

Un total de 5 vulnerabilidades fueron descubiertas para estos productos de VMware, ser explotadas pueden generar desde ejecución de comandos y ataques de Denegación de Servicios. VMware ha liberado un parche de seguridad crítico para mitigar estas vulnerabilidadesen ESXi, Fusion y Workstation, incluido también VMware Cloud Foundation. De noparcharse la explotación de estas fallas permitiría a un atacante acceder a lascargas de trabajo dentro de los entornos visuales de la organización.

Las vulnerabilidades tienen un score que va desde 5.3 a 8.4 en una escala de 10 del cvss, lo que hace a estas fallas bastante importantes, el problema surge que estas fallas pueden encadenarse durante la explotación para obtener mejores resultados. Dando así la combinación de estas en una falla de nivel crítico.

Las 5 vulnerabilidades son las siguientes:

·  CVE-2021-22040: Use-after-freevulnerability in XHCI USB controller (CVSS 8.4)

·  CVE-2021-22041: Double-fetchvulnerability in UHCI USB controller (CVSS 8.4)

·  CVE-2021-22042: ESXi‘settingsd’ unauthorized access vulnerability (CVSS 8.2)

·  CVE-2021-22043: ‘ESXisettingsd’ TOCTOU vulnerability (CVSS 8.2)

·  CVE-2021-22050: ESXi slow HTTPPOST denial of service vulnerability (CVSS 5.3)

Sabemos que un proceso de parchado a nivel de organización puede ser lento y ocasionar problemas en la infraestructura por lo que, para mitigar las 2 vulnerabilidades con el score más alto, las organizaciones pueden remover los controladores USB de sus máquinas virtuales, como un control compensatorio. Sin embargo, esto debe tomarse como una solución temporal en lo que se establece una ventana para parchar los sistemas debido a que el riesgo potencial aún sigue ahí y no se eliminara hasta instalar los parches.

Para más detalles puede consultar la documentación oficial de VMwarereferente a estas vulnerabilidades. Como se mencionó anteriormente VMware ha liberado el parche de seguridad, por lo que se recomienda actualizar cuanto antes, para mitigar estas vulnerabilidades.

‍