VMware corrige falhas remotas do tipo “make-me-root” no vCenter Server e Cloud Foundation

A Broadcom emitiu um par de patches para vulnerabilidades no VMware vCenter Server que um criminoso com acesso de rede ao software poderia explorar para comandar completamente um sistema. Isso também afeta o Cloud Foundation.

A primeira falha, CVE-2024-38812, é uma vulnerabilidade de estouro de heap no sistema Distributed Computing Environment/Remote Procedure Calls (DCERPC) que pode ser explorada pela rede para obter execução remota de código em sistemas sem patch. Corromper o heap pode permitir que um invasor execute código arbitrário no sistema. A Broadcom classifica como uma correção crítica e tem uma pontuação CVSS de 9,8 de 10.

A segunda, CVE-2024-38813, é uma falha de escalonamento de privilégios que classifica uma pontuação CVSS de 7,5 e que a Broadcom, proprietária da VMware, classifica como importante. Alguém com acesso de rede ao software vulnerável da VMware pode explorar isso para obter privilégios de root no sistema.

Podemos imaginar um criminoso com acesso à rede usando CVE-2024-38812 para obter execução de código em uma caixa e, em seguida, usando CVE-2024-38813 para assumir o controle administrativo. Este cenário não é explicitamente descrito no aviso, embora a Broadcom tenha escolhido emparelhar as falhas em seu aviso hoje e Perguntas frequentes.

As versões 7 e 8 do vCenter Server e as versões 4 e 5 do VMware Cloud Foundation estão em risco e a Broadcom alerta que não há solução prática para esses bugs. Em outras palavras, faça o patch.

Os erros são corrigidos nas versões 8.0 U3b e 7.0 U3s do vCenter Server e no Cloud Foundation com patches assíncronos para 8.0 U3b e 7.0 U3s.

A descoberta de ambas as falhas surgiu da Matrix Cup Cyber ​​Security Competition, realizada em junho na China, que foi organizada pelo 360 Digital Security Group e Beijing Huayunan Information Technology Company. Mais de 1.000 equipes competiram para relatar falhas em produtos por US$ 2,75 milhões em prêmios.

Zbl e srs da Equipe TZL na Universidade de Tsinghua foram creditados com a descoberta dos bugs, que foram divulgados à Broadcom para correção.

A equipe conquistou o prêmio de Melhor Vulnerabilidade da competição, juntamente com um pagamento de US$ 59.360, mostrando mais uma vez que recompensas por bugs e hacking competitivo realmente funcionam. ®