VMware corrige vulnerabilidades graves en el hipervisor ESXi y SD-WAN Orchestrator

20 Noviembre 2020
Crítico

VMware ha parcheado una vulnerabilidad crítica y una alta que afectan a su hipervisor de clase empresarial ESXi y ha lanzado una actualización de seguridad para su SD-WAN Orchestrator, corrigiendo así varios agujeros de seguridad comprendidos en tres CVE de importancia alta y tres CVE de importancia media.

 

Vulnerabilidades en el hipervisor ESXI

Crítica

CVE-2020-4004: Con una puntuación CVSS de 9,3 se describe como una vulnerabilidad de uso posterior al lanzamiento del controlador USB XHCI. Esto permite que un actor malintencionado con privilegios de administrador local en la máquina virtual ejecute código como un proceso VMX para la máquina virtual en que se ejecuta el host. El proceso VMX se ejecuta en VMKernel y es responsable de manejar la E/S del dispositivo lo que puede provocar la fuga de datos.

Afecta a varias versiones de ESXi, pero también a VMware Fusion (solución de virtualización para Mac), VMware Workstation Player (aplicación de hipervisor de escritorio) y VMware Cloud Foundation (ESXi)

Alta

CVE-2020-4005: Esta vulnerabilidad ha recibido un puntaje CVSS de 8,8. La gestión inadecuada de las llamadas al sistema, podría permitir a un atacante con privilegios en el proceso VMX, la escalada de privilegios en el sistema afectado. Esto solo es posible cuando se explota conjuntamente con otra vulnerabilidad, por ejemplo, con la CVE-2020-4004.

Dicha vulnerabilidad afecta a productos ESXi y VMware Cloud Foundation.

 

Vulnerabilidades de VMware SD-WAN Orchestrator

CVE-2020-3984: Vulnerabilidad de inyección de SQL debido a una validación de entrada incorrecta. Un usuario de SD-WAN Orchestrator autenticado puede explotar una llamada de API vulnerable mediante consultas SQL especialmente diseñadas que pueden conducir a un acceso no autorizado a los datos. Ha recibido una puntuación CVSSv3 de 7.1

CVE-2020-4000: Ejecución de archivos transversales de directorio. Un usuario de SD-WAN Orchestrator autenticado puede atravesar directorios que pueden conducir a la ejecución de código de archivos. Puntuación CVSSv3 de 6,5.

CVE-2020-4001: Contraseñas predeterminadas Pass-the-Hash Attack. SD-WAN Orchestrator se envía con contraseñas predeterminadas para cuentas predefinidas que pueden conducir a un ataque Pass-the-Hash. Un atacante podría acceder a ese mismo sistema utilizando la contraseña predeterminada para la cuenta predefinida. Esta vulnerabilidad ha sido catalogada de gravedad media. Para corregir, cambie las contraseñas predeterminadas de las cuentas preconfiguradas en SD-WAN Orchestrator antes del uso en producción.

CVE-2020-3985: Escalamiento de privilegios de punto final de API. Ha recibido una puntuación CVSSv3 de 7,5 puesto que permite un acceso para establecer niveles de autorización arbitrarios que conducen a un problema de escalada de privilegios. Un usuario autenticado de SD-WAN Orchestrator puede aprovechar la debilidad de una aplicación y llamar a una API vulnerable para elevar sus privilegios.

CVE-2020-4002: Manejo inseguro de los parámetros del sistema. Un usuario de SD-WAN Orchestrator autenticado con altos privilegios puede ejecutar código arbitrario en el sistema operativo subyacente. Se le ha asignado una puntuación CVSSv3 de 7,2.

CVE-2020-4003: Divulgación de información de inyección SQL. Se descubrió que SD-WAN Orchestrator es vulnerable a los ataques de inyección de SQL, lo que permite la posible divulgación de información. Recibió una puntuación CVSSv3 de 6,3.

Se recomienda lo siguiente:

  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.

El listado de las CVE se adjunta a continuación:


Tags: #Parche #VMware #Vulnerabilidad #EXSi


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.