VMware ha lanzado actualizaciones de seguridad que solucionan un error crítico que afecta a Carbon Black App Control y que puede explotarse para eludir la autenticación y tomar el control de sistemas vulnerables.
La vulnerabilidad identificada como CVE-2021-21998 tiene una calificación de 9.4 sobre 10 según el estándar de la industria del Sistema de puntuación de vulnerabilidad común (CVSS) y afecta las versiones 8.0.x, 8.1.x, 8.5.x y 8.6.x de App Control (AppC).
Carbon Black App Control es una solución de seguridad diseñada para bloquear sistemas y servidores críticos para evitar cambios no autorizados frente a ataques cibernéticos y para garantizar el cumplimiento de regulaciones regulatorias como PCI-DSS, HIPAA, GDPR, SOX, FISMA y NERC.
«Un jugador malicioso con acceso de red al servidor de administración de aplicaciones VMware Carbon Black App Control puede obtener acceso administrativo al producto sin autenticación», dijo una empresa de virtualización y computación en la nube con sede en California.
CVE-2021-21998 es la segunda vez que VMware aborda un problema de omisión de autenticación en su software de seguridad de punto final Carbon Black. A principios de abril, la empresa corrigió una vulnerabilidad de procesamiento de URL incorrecta en el dispositivo Carbon Black Cloud Workload (CVE-2021-21982), que podría explotarse para obtener acceso a la API de administración.
Eso no es todo. VMware también corrigió un error de escalada de permisos locales que afectaba a VMware para Windows, VMware Remote Console para Windows (VMRC para Windows) y VMware App Volumes (CVE-2021-21999, puntuación CVSS: 7.8), lo que podría permitir que un mal actor ejecute cualquier código. sobre los sistemas afectados.
«Un atacante con acceso normal a una máquina virtual podría explotar este problema colocando un archivo malicioso renombrado como» openssl.cnf «en un directorio sin restricciones que permitiría ejecutar código elevado», dijo VMware.
VMware culpó a Zeeshan Shaikh (@bugzzzhunter) de NotSoSecure y Hou JingYi (@ hjy79425575) de Qihoo 360 por informar un error.
