Le bogue VMware LPE permet aux cyberattaquants de se régaler des données des machines virtuelles

Une vulnérabilité de sécurité importante dans VMware Tools pourrait ouvrir la voie à une élévation des privilèges locaux (LPE) et à une prise de contrôle complète des machines virtuelles qui hébergent des données d'entreprise importantes, des informations et des informations d'identification des utilisateurs et des applications.

VMware Tools est un ensemble de services et de modules qui activent plusieurs fonctionnalités des produits VMware utilisés pour gérer les interactions des utilisateurs avec les systèmes d'exploitation invités (OS invité). Système d'exploitation invité est le moteur qui alimente une machine virtuelle.

"Un acteur malveillant disposant d'un accès local non administratif au système d'exploitation invité peut élever ses privilèges en tant qu'utilisateur root sur la machine virtuelle", selon l'avis de sécurité de VMware publié cette semaine, qui notait que le bug, suivi comme CVE-2022-31676, porte une note de 7.0 sur 10 sur l'échelle CVSS de vulnérabilité et de gravité.

Les voies d'exploitation pourraient prendre de nombreuses formes, selon Mike Parkin, ingénieur technique senior chez Vulcan Cyber.

"Il n'est pas clair dans la version si elle nécessite un accès via l'interface de la console virtuelle VMware ou si un utilisateur disposant d'une certaine forme d'accès à distance au système d'exploitation invité, tel que RDP sous Windows ou un accès shell pour Linux, pourrait exploiter la vulnérabilité", a-t-il déclaré. raconte Dark Reading. "L'accès au système d'exploitation invité devrait être limité, mais il existe de nombreux cas d'utilisation qui nécessitent de se connecter à une machine virtuelle en tant qu'utilisateur local."

Le virtuose de la virtualisation a corrigé le problème, avec les détails de la version corrigée disponibles dans l'alerte de sécurité. Il n'y a pas de solution de contournement pour la faille, les administrateurs doivent donc appliquer la mise à jour pour éviter tout compromis.

Le problème, bien que non critique, devrait quand même être corrigé dès que possible, prévient Parkin : « Même avec la migration vers le cloud, VMware reste un incontournable de la virtualisation dans de nombreux environnements d'entreprise, ce qui rend problématique toute vulnérabilité d'élévation de privilèges. »

Pour surveiller les compromis, John Bambenek, principal chasseur de menaces chez Netenrich, recommande de déployer des analyses comportementales pour détecter les abus d'informations d'identification, ainsi qu'un programme de menaces internes pour détecter les employés problématiques qui pourraient abuser de leur accès déjà légitime.

« Les systèmes VMware (et associés) gèrent les systèmes les plus privilégiés, et les compromettre constitue un multiplicateur de force pour les acteurs de la menace », dit-il.

Le patch fait suite à la divulgation d'un bug critique plus tôt ce mois-ci qui permettrait le contournement de l'authentification pour les implémentations VMware sur site, pour donner aux attaquants un accès local initial et la possibilité d'exploiter les vulnérabilités LPE telles que celle-ci.