Aviso de segurança: Vulnerabilidades do VMware dão controle do sistema a hackers

Classificação do Processo de Gerenciamento de Alertas de Vulnerabilidade (VAMP) do CyberHoot: Crítico/Vermelho 19 de maio de 2022: A CyberHoot tomou conhecimento de uma série de vulnerabilidades de software VMware rastreadas como CVE-2022-22954 (Pontuação base: 9.8/10) e CVE-2022-22960 (Pontuação base: 7.8/10) e estão sendo ativamente exploradas por hackers. Essas vulnerabilidades afetam determinadas versões do VMware Workspace ONE Access, VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation e vRealize Suite Lifecycle Manager. A exploração dessas vulnerabilidades permite que hackers acionem uma injeção de modelo do lado do servidor que pode resultar em Execução Remota de Código (RCE) (CVE-2022-22954) ou escalonamento de privilégios para root (CVE-2022-22960).  

A VMware lançou atualizações para ambas as vulnerabilidades em 6 de abril de 2022 e, de acordo com a CISA, hackers conseguiram fazer engenharia reversa das atualizações para desenvolver um exploit em 48 horas e rapidamente começaram a explorar as vulnerabilidades divulgadas em dispositivos sem as correções. A CISA tomou conhecimento desse exploit uma semana depois e adicionou as vulnerabilidades CVE-2022-22954 e CVE-2022-22960 ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em 14 e 15 de abril, respectivamente. De acordo com a Diretiva Operacional Vinculativa (BOD) 22-01, que trata da redução do risco significativo de vulnerabilidades conhecidas exploradas , as agências federais foram obrigadas a aplicar as atualizações para as vulnerabilidades CVE-2022-22954 e CVE-2022-22960 até 5 e 6 de maio de 2022, respectivamente.

Detalhes técnicos das vulnerabilidades do VMware

A vulnerabilidade CVE-2022-22954 permite que um agente com acesso à rede execute uma injeção de modelo no servidor, o que pode resultar em execução remota de código (RCE) . Essa vulnerabilidade afeta os seguintes produtos:

• • VMware Workspace ONE Access, versões 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
  • Versões do vIDM 3.3.6, 3.3.5, 3.3.4, 3.3.3
  • VMware Cloud Foundation, 4.x
  • Gerenciador de ciclo de vida do vRealize Suite, 8.

A vulnerabilidade CVE-2022-22960 permite que hackers com acesso local aumentem privilégios de root devido a permissões incorretas em scripts de suporte. Esta vulnerabilidade afeta os seguintes produtos:

• • VMware Workspace ONE Access, versões 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
  • vIDM, versões 3.3.6, 3.3.5, 3.3.4, 3.3.3
  • vRA, versão 7.6 
  • VMware Cloud Foundation, 3.x, 4.x, 
  • Gerenciador de ciclo de vida do vRealize Suite, 8.x

De acordo com a CISA , agentes maliciosos podem explorar essas vulnerabilidades em conjunto. Em uma organização comprometida em abril de 2022, um agente não autenticado com acesso à interface web explorou a vulnerabilidade CVE-2022-22954 para executar um comando arbitrário no shell como um usuário do VMware. Em seguida, o agente explorou a vulnerabilidade CVE-2022-22960 para elevar os privilégios do usuário para root. Com acesso root, o agente poderia apagar logs, elevar permissões e se movimentar lateralmente para outros sistemas.

O que você deve fazer?

Aplique o patch nos seus sistemas VMware o mais rápido possível ou remova o software afetado da sua rede até que um patch possa ser aplicado.

Para manter-se sempre atualizado, é importante implementar uma solução de gerenciamento de patches baseada em nuvem para atualizar automaticamente o software sempre que e onde for necessário. A maioria dos provedores de serviços gerenciados utiliza uma das três principais soluções de monitoramento e gerenciamento remoto (RMM) ( Connectwise , Datto e Kaseya) para aplicar patches em seus sistemas gerenciados. Essas soluções de RMM também oferecem monitoramento e acesso remoto, além de serviços de aplicação de patches testados e validados para seus clientes.

Soluções independentes de gerenciamento de patches para empresas que não utilizam as soluções RMM mencionadas acima incluem ManageEngine e Automox.

Você tem um Processo de Gerenciamento de Alertas de Vulnerabilidade, certo?

Se você for assinante dos serviços da CyberHoot, terá acesso à nossa biblioteca de Políticas e Processos, que contém o documento do processo de gerenciamento de alertas de vulnerabilidade. Este documento descreve como responder a situações como essa e em qual prazo. Se sua empresa ainda não adotou um processo semelhante ao VAMP, agora é um ótimo momento para começar.

Fontes

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Inscreva-se para assistir