Il bug di VMware LPE consente ai cyberattacker di banchettare con i dati delle macchine virtuali

Una vulnerabilità di sicurezza di livello importante in VMware Tools potrebbe aprire la strada all'escalation dei privilegi locali (LPE) e all'acquisizione completa di macchine virtuali che ospitano importanti dati aziendali, informazioni sugli utenti, credenziali e applicazioni.

VMware Tools è un insieme di servizi e moduli che abilitano diverse funzionalità nei prodotti VMware utilizzati per gestire le interazioni degli utenti con i sistemi operativi guest (OS guest). Sistema operativo ospite è il motore che alimenta una macchina virtuale.

"Un attore malintenzionato con accesso locale non amministrativo al sistema operativo Guest può aumentare i privilegi come utente root nella macchina virtuale", secondo l'avviso di sicurezza di VMware, pubblicato questa settimana, che ha rilevato che il bug, tracciato come CVE-2022-31676, ha una valutazione di 7.0 su 10 sulla scala di gravità della vulnerabilità CVSS.

I percorsi di sfruttamento potrebbero assumere molte forme, secondo Mike Parkin, ingegnere tecnico senior di Vulcan Cyber.

"Non è chiaro dalla versione se richieda l'accesso tramite l'interfaccia della console virtuale VMware o se un utente con una qualche forma di accesso remoto al sistema operativo guest, come RDP su Windows o accesso alla shell per Linux, possa sfruttare la vulnerabilità", ha affermato dice Dark Reading. "L'accesso al sistema operativo guest dovrebbe essere limitato, ma ci sono molti casi d'uso che richiedono l'accesso a una macchina virtuale come utente locale".

Il virtuoso della virtualizzazione ha corretto il problema, con i dettagli della versione patch disponibili nell'avviso di sicurezza. Non ci sono soluzioni alternative per il difetto, quindi gli amministratori dovrebbero applicare l'aggiornamento per evitare compromessi.

Il problema, sebbene non critico, dovrebbe comunque essere risolto non appena possibile, avverte Parkin: "Anche con la migrazione al cloud, VMware rimane un punto fermo della virtualizzazione in molti ambienti aziendali, il che rende problematica qualsiasi vulnerabilità legata all'escalation dei privilegi".

Per monitorare la compromissione, John Bambenek, principale cacciatore di minacce di Netenrich, consiglia di implementare analisi comportamentali per rilevare l'abuso delle credenziali, nonché un programma di minacce interne per rilevare i dipendenti problematici che potrebbero abusare del loro accesso già legittimo.

"I sistemi VMware (e correlati) gestiscono i sistemi più privilegiati e comprometterli è un moltiplicatore di forza per gli attori delle minacce", afferma.

La patch arriva sulla scia della divulgazione di a bug critico all'inizio di questo mese ciò consentirebbe il bypass dell'autenticazione per le implementazioni VMware in locale, per fornire agli aggressori l'accesso locale iniziale e la possibilità di sfruttare vulnerabilità LPE come questa.