VMware ha alertado a los administradores de sistemas informáticos sobre la presencia de dos vulnerabilidades de seguridad en el complemento de autenticación Enhanced Authentication Plug-in (EAP), que ya fue obsoleto hace casi tres años. Estas brechas, identificadas como CVE-2024-22245 y CVE-2024-22250, permiten a atacantes maliciosos transmitir tickets de servicio Kerberos y tomar el control de sesiones privilegiadas en entornos de dominio Windows.
El complemento vulnerable
El EAP era utilizado para facilitar un inicio de sesión fluido en las interfaces de administración de vSphere mediante la autenticación integrada de Windows. Sin embargo, VMware anunció su obsolescencia en marzo de 2021 con el lanzamiento de vCenter Server 7.0 Update 2.
Impacto y parche
Las vulnerabilidades descubiertas pueden ser explotadas para realizar ataques de retransmisión de autenticación y secuestro de sesión, lo que pone en riesgo la seguridad de sistemas basados en este complemento. Aunque VMware no ha encontrado evidencia de que estas brechas hayan sido explotadas en la naturaleza, recomienda eliminar el complemento para mitigar cualquier riesgo potencial.
Acciones recomendadas
Los administradores deben eliminar tanto el cliente del navegador VMware Enhanced Authentication Plug-in 6.7.0 como el servicio de Windows correspondiente (Servicio de complemento de VMware). En caso de que no sea posible eliminarlos, se pueden deshabilitar mediante comandos de PowerShell, según lo detallado en la documentación oficial de VMware.
Alternativas seguras
Como alternativa al EAP vulnerable, VMware recomienda el uso de otros métodos de autenticación disponibles en vSphere 8, como Active Directory sobre LDAPS, Microsoft Active Directory Federation Services (ADFS), Okta y Microsoft Entra ID.
Vulnerabilidades anteriores
El mes pasado, VMware confirmó que una vulnerabilidad crítica de ejecución remota de código en vCenter Server (CVE-2023-34048) había sido explotada activamente. Mandiant reveló que el grupo chino UNC3886 utilizó esta brecha como Zero-Day durante más de dos años, desde finales de 2021.