VMware corrigió un error de día cero que se reveló a fines de noviembre: una falla de escalada de privilegios que afecta a Workspace One y otras plataformas, tanto para los sistemas operativos Windows como Linux.

• VMware ha publicado un parche completo y ha revisado el nivel de gravedad de la vulnerabilidad informada por la NSA a "importante".
• VMware también ha revisado la clasificación de gravedad de CVSS para el error a "importante", en lugar de crítico.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) había señalado originalmente la vulnerabilidad de seguridad sin parchear el 23 de noviembre, que afecta a 12 versiones de VMware en sus carteras Cloud Foundation, Identity Manager, vRealize Suite Lifecycle Manager y Workspace One. Fue informado a la empresa por la Agencia de Seguridad Nacional (NSA).

Registrado como CVE-2020-4006, el error permite la inyección de comandos, según el aviso de la compañía.

• https://www.vmware.com/security/advisories/VMSA-2020-0027.html

"Un actor malintencionado con acceso de red al configurador administrativo en el puerto 8443 y una contraseña válida para la cuenta de administrador del configurador puede ejecutar comandos con privilegios no restringidos en el sistema operativo subyacente", escribió VMware en un aviso actualizado el jueves.

Si bien al error se le asignó originalmente un 9,1 sobre 10 en la escala de gravedad de CVSS, una investigación adicional mostró que cualquier atacante necesitaría la contraseña mencionada en la actualización, lo que hace que sea mucho más difícil explotarlo de manera efectiva. Su calificación es ahora de 7.2, lo que la hace "importante" en lugar de "crítico".

"Esta cuenta es interna de los productos afectados y se establece una contraseña en el momento de la implementación", según el aviso. "Un actor malintencionado debe poseer esta contraseña para intentar explotar CVE-2020-4006".

La contraseña debería obtenerse a través de tácticas como phishing o forzamiento bruto / relleno de credenciales, agregó.

Cuando se reveló la vulnerabilidad en noviembre, la compañía emitió soluciones provisionales “para una solución temporal para evitar la explotación de CVE-2020-4006”, con la desventaja de que los cambios de configuración administrados por el configurador son posibles mientras la solución está en su lugar. Sin embargo, ahora está disponible un parche completo.

Los productos afectados por la vulnerabilidad son:

•     VMware Workspace One Access (acceso)
•     Conector de acceso de VMware Workspace One (conector de acceso)
•     Administrador de identidades de VMware (vIDM)
•     Conector de VMware Identity Manager (conector vIDM)
•     Fundación VMware Cloud
•     vRealize Suite Lifecycle Manager

Las versiones afectadas son:

•     VMware Workspace One Access 20.01, 20.10 (Linux)
•     VMware Identity Manager 3.3.3, 3.3.2, 3.3.1 (Linux)
•     Conector de VMware Identity Manager 3.3.2, 3.3.1 (Linux)
•     Conector de VMware Identity Manager 3.3.3, 3.3.2, 3.3.1 (Windows)
•     VMware Cloud Foundation 4.x (Linux y Windows)
•     vRealize Suite Lifecycle Manager 8.x (Linux y Windows)

No ha habido informes de explotación de actores maliciosos.

Fuentes:

https://threatpost.com/vmware-fix-critical-zero-day-bug/161896/