Nuevas vulnerabilidades en productos VMware

VMware, un proveedor líder en soluciones de virtualización, emitió el aviso de seguridad VMSA-2024-0006, en el cual publica parches críticos para solventar nuevas vulnerabilidades detectas en los siguientes productos:

VMware ESXi
VMware Workstation Pro / Player (Workstation)
VMware Fusion Pro / Fusion (Fusion)
VMware Cloud Foundation (Cloud Foundation)

Es crucial que los administradores de sistemas estén al tanto de estas vulnerabilidades y tomen medidas para proteger sus entornos virtuales.

CVE-2024-22252 (CVSS: 9.3): es una vulnerabilidad Use-After-Free, que se origina por el uso incorrecto de la memoria dinámica durante la operación del programa. Esta falla se encuentra en el controlador XHCI USB.

CVE-2024-22253 (CVSS: 9.3): es una vulnerabilidad Use-After-Free, que se origina por el uso incorrecto de la memoria dinámica durante la operación del programa. Esta falla se encuentra en el controlador UHCI USB.

En las vulnerabilidades CVE-2024-22252 y CVE-2024-22253, un actor malintencionado con privilegios administrativos locales en una máquina virtual puede aprovechar esta vulnerabilidad para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host. En ESXi, la explotación está contenida dentro del entorno limitado de VMX, mientras que, en Workstation y Fusion, esto puede provocar la ejecución de código en la máquina host.

CVE-2024-22254 (CVSS: 7.9): es una vulnerabilidad presente en VMware ESXI, es un fallo de out-of-bounds write en la que un programa puede escribir fuera de los límites de un área asignada de memoria, lo que podría provocar un bloqueo o la ejecución de código arbitrario.

Un actor malintencionado con privilegios dentro del proceso VMX puede desencadenar una escritura fuera de límites que conduzca a un escape del entorno limitado.

CVE-2024-22255 (CVSS: 7.1): es una vulnerabilidad de divulgación de información en el controlador UHCI USB que afecta a VMware ESXi, Workstation y Fusion. Un atacante con acceso administrativo a una máquina virtual podría filtrar memoria del proceso vmx.

Productos afectados y versiones corregidas

Productos	Versiones afectadas	Identificador CVE	CVSSv3	Versiones corregidas
ESXi	8.0	CVE-2024-22252 CVE-2024-22253 CVE-2024-22254 CVE-2024-22255	8.4 8.4 7.9 7.1	ESXi80U2sb-23305545 ESXi80U1d-23299997
ESXi	7.0	CVE-2024-22252 CVE-2024-22253 CVE-2024-22254 CVE-2024-22255	8.4 8.4 7.9 7.1	ESXi70U3p-23307199
Workstation	17.x	CVE-2024-22252 CVE-2024-22253 CVE-2024-22255	9.3 9.3 7.1	17.5.1
Fusion	13.x	CVE-2024-22252 CVE-2024-22253 CVE-2024-22255	9.3 9.3 7.1	13.5.1
Cloud Foundation (ESXi)	5.x/4.x	CVE-2024-22252 CVE-2024-22253 CVE-2024-22254 CVE-2024-22255	8.4 8.4 7.9 7.1	KB88287

Workaround

La siguiente solución temporal, hasta que se puedan implementar las actualizaciones documentadas, mitigan los riesgos para las vulnerabilidades CVE-2024-22252, CVE-2024-22253, CVE-2024-22255.

La solución es eliminar todos los controladores USB de la máquina virtual. Como resultado, la funcionalidad «USB passthrough» no estará disponible.

Además, los dispositivos USB virtuales/emulados, como la memoria USB o el dongle virtual de VMware, no estarán disponibles para que los utilice la máquina virtual. Por el contrario, el teclado/mouse predeterminado como dispositivo de entrada no se ve afectado ya que, de forma predeterminada, no están conectados a través del protocolo USB, pero tienen un controlador que emula el dispositivo de software en el sistema operativo invitado.

Recomendaciones

Implementar lo antes posible las actualizaciones proporcionadas por VMware.
Limitar el acceso administrativo a las máquinas virtuales solo a usuarios autorizados.
Realizar monitoreos que permitan detectar cualquier actividad sospechosa en sus sistemas.

Referencias