VMware anunció el martes el lanzamiento de parches para la vulnerabilidad crítica de ejecución remota de código (RCE) y XML External Entity (XXE) en Cloud Foundation.
Con un puntaje CVSS de 9.8 y rastreado como CVE-2021-39144, el primero de los errores es una vulnerabilidad de ejecución remota de código que afecta a la versión 3.11 de Cloud Foundation.
El problema existe en la biblioteca de código abierto XStream que podría resultar en la ejecución remota de código. XStream es una biblioteca simple para serializar objetos a XML y viceversa. En las versiones afectadas, esta vulnerabilidad puede permitir que un atacante remoto tenga suficientes derechos para ejecutar comandos del host solo mediante la manipulación del flujo de entrada procesado.
“Debido a un punto final no autenticado que aprovecha XStream para la serialización de entrada en VMware Cloud Foundation (NSX-V), un actor malintencionado puede obtener la ejecución remota de código en el contexto de ‘raíz’ en el dispositivo”, se lee en el aviso de la empresa .
La vulnerabilidad fue reportada por Sina Kheirkhah y Steven Seeley de Source Incite, y se lanzaron parches y soluciones para abordarla. Se han publicado los aspectos técnicos y PoC de esta falla .
Además de CVE-2021-39144, VMware también anunció parches para una vulnerabilidad de XML External Entity (XXE) (CVE-2022-31678), que podría permitir que un atacante no autenticado provoque ” una condición de denegación de servicio o divulgación de información no deseada”.
La falla fue descubierta y reportada por Sina Kheirkhah y Steven Seeley de Source Incite.
La empresa recomienda que todos los clientes potencialmente afectados apliquen los parches disponibles.
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.