VMware ha publicado 1 aviso de seguridad que contempla 4 vulnerabilidades clasificadas en 2 de severidad crítica y 2 de severidad alta. Dichas vulnerabilidades afectan a los siguientes productos:
- VMware ESXi
- VMware Workstation Pro / Player
- VMware Fusion Pro / Fusion
- VMware Cloud Foundation
CVE-2024-22252 [CVSSv3.0: 9.3]
Vulnerabilidad Use-after-free en el controlador USB XHCI
Un actor malicioso con privilegios administrativos locales en una máquina virtual puede explotar este problema para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host. En ESXi, la explotación está contenida dentro del sandbox VMX mientras que, en Workstation y Fusion, esto puede conducir a la ejecución de código en la máquina donde está instalado Workstation o Fusion.
CVE-2024-22253 [CVSSv3.0: 9.3]
Vulnerabilidad Use-after-free en el controlador USB UHCI
Un actor malicioso con privilegios administrativos locales en una máquina virtual puede explotar este problema para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host. En ESXi, la explotación está contenida dentro del sandbox VMX mientras que, en Workstation y Fusion, esto puede conducir a la ejecución de código en la máquina donde está instalado Workstation o Fusion.
CVE-2024-22254 [CVSSv3.0: 7.9]
Vulnerabilidad de escritura fuera de los límites de ESXi
Un actor malicioso con privilegios dentro del proceso VMX puede provocar una escritura fuera de los límites que conduzca a una fuga en el sandbox.
CVE-2024-22255 [CVSSv3.0: 7.1]
Vulnerabilidad de revelación de información en el controlador USB UHCI
Un actor malicioso con acceso administrativo a una máquina virtual puede ser capaz de explotar este problema para filtrar memoria del proceso vmx.
Mitigación
Se recomienda lo siguiente:
- Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.
