VMware ha entregado actualizaciones que abordan dos vulnerabilidades de seguridad en Center Server y Cloud Foundation que un atacante remoto podría explotar para obtener acceso a información confidencial.
El más grave de estos problemas es la vulnerabilidad al leer cualquier archivo en vSphere Web Client. Supervisado como CVE-2021-21980, el error recibió una calificación de 7,5 de un máximo de 10 en el sistema de calificación CVSS y afecta las versiones 6.5 y 6.7 de vCenter Server.
«Un jugador malicioso con acceso de red al puerto 443 en vCenter Server puede explotar este problema para obtener acceso a información confidencial», dijo la compañía en un informe publicado el 23 de noviembre, acreditando a ch0wn de Orz lab por informar el error.
La segunda vulnerabilidad que VMware ha abordado se refiere a la vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) en el complemento del cliente web de la red de almacenamiento virtual (vSAN), que podría permitir que un actor malintencionado con acceso de red al puerto 443 en el servidor vCenter para explotar un error de acceso interno, un servicio fuera del servidor o una solicitud de URL.
La compañía acreditó un magiczero de SGLAB de Legendsec en el grupo Qi’anxin por descubrir e informar un error.
Los ataques SSRF son un tipo de vulnerabilidad de seguridad web que permite a un oponente leer o modificar los recursos internos a los que tiene acceso el servidor de destino mediante el envío de solicitudes HTTP especialmente diseñadas, lo que lleva a la divulgación no autorizada de información.
Los riesgos que plantean los ataques SSRF son tan graves y generalizados que el Open Web Application Security Project (OWASP) los ha incluido en la lista de los 10 principales riesgos de seguridad de aplicaciones web para 2021.
Con las soluciones de virtualización de VMware ampliamente utilizadas en las empresas, no sorprende que sus productos se hayan convertido en objetivos lucrativos para que los actores de amenazas lancen una serie de ataques en redes vulnerables. Para mitigar el riesgo de infiltración, se recomienda que las organizaciones apliquen las actualizaciones necesarias rápidamente.
