VMware corrige falhas de segurança

15 de Maio de 2024

Diversas falhas de segurança foram reveladas nos produtos VMware Workstation e Fusion, que poderiam ser exploradas por invasores para acessar informações sensíveis, provocar uma condição de negação de serviço (DoS) e executar código sob determinadas circunstâncias.

As quatro vulnerabilidades afetam as versões 17.x do Workstation e as versões 13.x do Fusion, com correções disponíveis na versão 17.5.2 e 13.5.2, respectivamente, informou o provedor de serviços de virtualização pertencente à Broadcom.

Segue uma breve descrição de cada falha:

CVE-2024-22267 (pontuação CVSS: 9.3) - Uma vulnerabilidade de uso após liberação no dispositivo Bluetooth que poderia ser explorada por um ator malicioso com privilégios administrativos locais em uma máquina virtual para executar código como o processo VMX da máquina virtual que está sendo executada no hospedeiro.

CVE-2024-22268 (pontuação CVSS: 7.1) - Uma vulnerabilidade de estouro de buffer em heap na funcionalidade Shader que poderia ser explorada por um ator malicioso com acesso não administrativo a uma máquina virtual com gráficos 3D ativados para criar uma condição de DoS.

CVE-2024-22269 (pontuação CVSS: 7.1) - Uma vulnerabilidade de divulgação de informações no dispositivo Bluetooth que poderia ser explorada por um ator malicioso com privilégios administrativos locais em uma máquina virtual para ler informações privilegiadas contidas na memória do hipervisor a partir de uma máquina virtual.

CVE-2024-22270 (pontuação CVSS: 7.1) - Uma vulnerabilidade de divulgação de informações na funcionalidade de Compartilhamento de Arquivos entre Hospedeiro e Convidado (HGFS) que poderia ser explorada por um ator malicioso com privilégios administrativos locais em uma máquina virtual para ler informações privilegiadas contidas na memória do hipervisor a partir de uma máquina virtual.

Como soluções provisórias até que os patches possam ser implementados, aconselha-se aos usuários desativar o suporte Bluetooth na máquina virtual e desabilitar a funcionalidade de aceleração 3D.

Não há mitigações que enderecem a CVE-2024-22270 além de atualizar para a versão mais recente.

Vale ressaltar que as CVE-2024-22267 , CVE-2024-22269 e CVE-2024-22270 foram originalmente demonstradas pela STAR Labs SG e Theori no concurso de hacking Pwn2Own realizado em Vancouver no início de março deste ano.

Esse aviso vem mais de dois meses depois da empresa lançar patches para corrigir quatro falhas de segurança que impactam o ESXi, Workstation e Fusion, incluindo duas falhas críticas ( CVE-2024-22252 e CVE-2024-22253 , pontuações CVSS: 9.3/8.4) que poderiam levar à execução de código.

O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...