Una vulnerabilidad crítica que afecta a VMware Aria Operations ha sido añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Broadcom emitió recientemente un aviso de seguridad detallando una falla que permite a atacantes no autenticados ejecutar comandos arbitrarios. Se insta a las organizaciones a implementar mitigaciones o suspender el uso del producto si no es posible aplicar una solución. VMware Aria Operations 

Una vulnerabilidad crítica que afecta a VMware Aria Operations ha sido añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV).

Broadcom emitió recientemente un aviso de seguridad detallando un fallo que permite a atacantes no autenticados ejecutar comandos arbitrarios.

Se insta a las organizaciones a implementar mitigaciones o suspender el uso del producto si no es posible aplicar una solución.

Vulnerabilidad en VMware Aria Operations

VMware Aria Operations, antes conocido como vRealize Operations (vROps), es una plataforma de gestión de operaciones de TI que supervisa, gestiona y optimiza centros de datos y entornos en la nube.

La vulnerabilidad recién añadida implica un fallo de inyección de comandos que puede llevar a la ejecución remota de código (RCE) durante migraciones del producto asistidas por soporte.

Dado que esta vulnerabilidad no requiere autenticación, representa un riesgo significativo para las organizaciones afectadas.

Un atacante que explote con éxito este fallo podría obtener acceso no autorizado al sistema subyacente, ejecutar comandos arbitrarios y potencialmente comprometer toda la infraestructura de TI.

El problema fue descubierto y reportado inicialmente, lo que llevó a Broadcom a lanzar parches y mitigaciones.

Sin embargo, CISA ha confirmado ahora que se está produciendo explotación activa en la naturaleza, lo que ha motivado su inclusión en el catálogo KEV.

Aunque CISA ha confirmado la explotación activa, los detalles sobre los actores de amenazas específicos o las campañas que aprovechan esta vulnerabilidad siguen sin revelarse. Actualmente, se desconoce si este fallo ha sido utilizado en ataques de ransomware.

La Directiva Operativa Vinculante (BOD) 22-01 de CISA exige que las agencias del Ramo Ejecutivo Civil Federal (FCEB) aborden las vulnerabilidades incluidas en el catálogo KEV en un plazo determinado.

En este caso, las agencias tienen hasta el 24 de marzo de 2026 para aplicar las mitigaciones necesarias o suspender el uso del producto si no hay soluciones disponibles.

Las organizaciones fuera del gobierno federal también están fuertemente instadas a priorizar la aplicación de parches o las mitigaciones recomendadas por el proveedor.

Broadcom ha proporcionado instrucciones para mitigar el riesgo, y los usuarios deben consultar el aviso oficial para obtener orientación detallada.