El error de VMware LPE permite a los ciberatacantes darse un festín con los datos de las máquinas virtuales

Una vulnerabilidad de seguridad calificada como importante en VMware Tools podría allanar el camino para la escalada de privilegios locales (LPE) y la toma completa de máquinas virtuales que albergan datos corporativos importantes, información y credenciales de usuarios, y aplicaciones.

VMware Tools es un conjunto de servicios y módulos que habilita varias funciones en los productos de VMware que se utilizan para administrar las interacciones de los usuarios con los sistemas operativos invitados (SO invitado). SO invitado es el motor que alimenta una máquina virtual.

“Un actor malicioso con acceso local no administrativo al sistema operativo invitado puede escalar los privilegios como usuario raíz en la máquina virtual”, según el aviso de seguridad de VMware, emitido esta semana, que señaló que el error, rastreado como CVE-2022-31676, tiene una calificación de 7.0 sobre 10 en la escala CVSS de vulnerabilidad-gravedad.

Las rutas de explotación podrían tomar muchas formas, según Mike Parkin, ingeniero técnico senior de Vulcan Cyber.

“No está claro en el comunicado si requiere acceso a través de la interfaz de la consola virtual de VMware o si un usuario con algún tipo de acceso remoto al sistema operativo invitado, como RDP en Windows o acceso de shell para Linux, podría explotar la vulnerabilidad”, dijo. le dice a Dark Reading. “El acceso al sistema operativo invitado debe ser limitado, pero hay muchos casos de uso que requieren iniciar sesión en una máquina virtual como usuario local”.

El virtuoso de la virtualización solucionó el problema, con detalles de la versión parcheada disponibles en la alerta de seguridad. No hay soluciones para la falla, por lo que los administradores deben aplicar la actualización para evitar compromisos.

El problema, aunque no es crítico, aún debe solucionarse tan pronto como sea posible, advierte Parkin: "Incluso con la migración a la nube, VMware sigue siendo un elemento básico de la virtualización en muchos entornos empresariales, lo que hace que cualquier vulnerabilidad de escalada de privilegios sea problemática".

Para monitorear el compromiso, John Bambenek, principal cazador de amenazas en Netenrich, recomienda implementar análisis de comportamiento para detectar el abuso de credenciales, así como un programa de amenazas internas para detectar empleados problemáticos que pueden abusar de su acceso ya legítimo.

“Los sistemas VMWare (y relacionados) administran los sistemas más privilegiados, y comprometerlos es un multiplicador de fuerza para los actores de amenazas”, dice.

El parche llega inmediatamente después de la divulgación de un error crítico a principios de este mes que permitiría eludir la autenticación para las implementaciones de VMware en las instalaciones, para dar a los atacantes acceso local inicial y la capacidad de explotar vulnerabilidades de LPE como esta.