VMware ha lanzado un aviso de seguridad que aborda tres vulnerabilidades críticas en su plataforma vCenter Server. Estas afectan la capacidad del atacante para ejecutar código remoto y elevar privilegios locales.
vCenter Server es una herramienta centralizada para la gestión de VMware vSphere, permitiendo el control de máquinas virtuales y hosts ESXi. El proveedor lanzó correcciones para tres vulnerabilidades identificadas como CVE-2024-37079, CVE-2024-37080 y CVE-2024-37081.
- CVE-2024-37079: una vulnerabilidad de desbordamiento heap en el protocolo DCERPC que permite la ejecución remota de código si un actor malicioso tiene acceso a la red.
- CVE-2024-37080: similar al anterior, también relacionada con desbordamiento heap en el protocolo DCERPC y permite la ejecución remota de código.
- CVE-2024-37081: una configuración incorrecta de sudo en vCenter Server que permite a un usuario autenticado elevar sus privilegios a root en el servidor Appliance.
Las vulnerabilidades afectan las versiones 7.0 y 8.0 de vCenter Server, así como las versiones 4.x y 5.x de VMware Cloud Foundation. Las correcciones están disponibles en vCenter Server 8.0 U2d, 8.0 U1e y 7.0 U3r. Para Cloud Foundation, los parches se implementaron mediante KB88287.
VMware indica que la actualización no afecta las cargas de trabajo ni máquinas virtuales en ejecución, pero puede causar una indisponibilidad temporal en vSphere Client y otras interfaces de administración durante el proceso.
Además, se detectó un problema con los cifrados personalizados en la versión 7.0 U3r (también en U3q). Se recomienda verificar previamente este aspecto, y se sugiere consultar el artículo correspondiente de la base de conocimientos.
VMware vCenter Server: una amenaza para las redes
El proveedor destaca que no existen soluciones alternativas o mitigaciones viables en el producto, por lo que recomienda aplicar las actualizaciones lo antes posible. En un documento de preguntas frecuentes, VMware menciona que hasta ahora no se ha detectado ninguna explotación activa de estas vulnerabilidades.
No obstante, es común que estas fallas sean atacadas por actores de amenazas una vez reveladas, lo cual justifica la necesidad de aplicar las correcciones sin demora.
Ransomware RansomHub apunta a máquinas virtuales VMware ESXi
Un nuevo ransomware llamado RansomHub ha sido identificado como una amenaza para entornos VMware ESXi. Este malware utiliza un cifrador de Linux diseñado específicamente para atacar máquinas virtuales en ambientes corporativos.
RansomHub es una operación de ransomware como servicio (RaaS) lanzada en febrero de 2024, que se ha asociado con grupos como ALPHV/BlackCat y Knight. Hasta ahora, el ransomware ha afectado a más de 45 víctimas en 18 países.
La existencia de una variante ESXi del ransomware fue confirmada desde principios de mayo. Recorded Future informa que el grupo también tiene una versión especializada para este entorno, observada por primera vez en abril de 2024.
UNC3886 utiliza rootkits de Linux para ocultarse en máquinas virtuales VMware ESXi
El actor de amenazas UNC3886 ha sido identificado utilizando rootkits de código abierto como Reptile y Medusa para permanecer oculto en máquinas virtuales VMware ESXi. Esto les permite realizar actividades como robo de credenciales, ejecución de comandos y movimiento lateral.
Mandiant ha estado investigando a este actor durante mucho tiempo, informando previamente sobre ataques a organizaciones gubernamentales que aprovecharon vulnerabilidades Zero-Day de Fortinet y VMware. Un nuevo informe revela el uso de rootkits mencionados para persistencia y evasión a largo plazo, así como herramientas personalizadas como Mopsled y Riflespine.
Los ataques más recientes se han dirigido a organizaciones en América del Norte, Sudeste Asiático, Oceanía, Europa, África y otras partes de Asia. Las industrias afectadas incluyen gobierno, telecomunicaciones, tecnología, aeroespacial, defensa, energía y servicios públicos.