VMware corrige vulnerabilidad crítica en vCenter Server

En una nueva actualización VMware ha publicado dos vulnerabilidades, incluyendo una de severidad crítica con puntuación 9.8, que permitiría ejecución remota de código (RCE) en un complemento de vCenter Server.

VMware vCenter Server es un software de administración de servidores que le permite administrar máquinas virtuales, hosts ESXi y otros componentes dependientes desde una única ubicación.

CVE-2021-21985 vulnerabilidad de ejecución remota de código en vSphere Client

VSphere Client (HTML5) contiene una vulnerabilidad de ejecución remota de código debido a la falta de validación de entrada en el complemento Virtual SAN Health Check, que está habilitado de forma predeterminada en vCenter Server. VMware ha evaluado que la gravedad de este problema se encuentra en el rango de gravedad crítica con una puntuación base máxima de CVSSv3 de 9,8.

Un actor malintencionado con acceso de red al puerto 443 puede aprovechar este problema para ejecutar comandos con privilegios ilimitados en el sistema operativo subyacente que aloja vCenter Server.

CVE-2021-21986 Vulnerabilidad en el mecanismo de autenticación en los complementos de vCenter Server

VSphere Client (HTML5) contiene una vulnerabilidad en el mecanismo de autenticación de vSphere para los complementos:

• Virtual SAN Health Check
• Site Recovery
• vSphere Lifecycle Manager
• VMware Cloud Director Availability. 

VMware ha evaluado que la gravedad de este problema se encuentra en el rango de gravedad moderada con una puntuación base máxima de CVSSv3 de 6,5.

Un actor malintencionado con acceso de red al puerto 443 en vCenter Server puede realizar acciones permitidas por los complementos afectados sin autenticación.

Se recomienda lo siguiente:

• Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.