VMWare a fourni des mises à jour aux produits Workstation, Fusion et ESXi pour remédier à une vulnérabilité de sécurité « importante » qui pourrait être transformée en arme par un acteur malveillant pour prendre le contrôle des systèmes affectés.
Le problème est lié à une vulnérabilité de débordement de tas – suivie comme CVE-2021-22045 (score CVSS : 7,7) — qui, s’il est exploité avec succès, entraîne l’exécution de code arbitraire. La société a crédité Jaanus Kääp, un chercheur en sécurité de Clarified Security, pour avoir signalé la faille.
« Un acteur malveillant ayant accès à une machine virtuelle avec émulation de périphérique CD-ROM peut être en mesure d’exploiter cette vulnérabilité en conjonction avec d’autres problèmes pour exécuter du code sur l’hyperviseur à partir d’une machine virtuelle », VMware mentionné dans un avis publié le 4 janvier. « Une exploitation réussie nécessite [a] Image CD à attacher à la machine virtuelle. »
L’erreur affecte les versions ESXi 6.5, 6.7 et 7.0 ; Versions de poste de travail 16.x ; et Fusion versions 12.x, la société n’ayant pas encore publié de correctif pour ESXi 7.0. Dans l’intervalle, la société est recommander aux utilisateurs de désactiver tous les périphériques CD-ROM/DVD sur toutes les machines virtuelles en cours d’exécution pour empêcher toute exploitation potentielle —
- Connectez-vous à un système vCenter Server à l’aide de vSphere Web Client.
- Cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres.
- Sélectionnez le lecteur de CD/DVD et décochez « Connecté » et « Connecter à la mise sous tension » et supprimez tous les ISO attachés.
Avec les solutions de virtualisation de VMware largement déployées dans les entreprises, il n’est pas surprenant que ses produits soient devenus un choix populaire pour les acteurs de la menace pour organiser une multitude d’attaques contre des réseaux vulnérables. Pour atténuer le risque d’infiltration, il est recommandé aux organisations d’agir rapidement pour appliquer les mises à jour nécessaires.
