Los equipos de seguridad de VMware anunciaron el lanzamiento de algunas actualizaciones para abordar algunas vulnerabilidades que afectan su hipervisor ESXi, la plataforma de nube híbrida Cloud Foundation y la herramienta de virtualización de aplicaciones ThinApp. La más grave de estas fallas recibió el identificador CVE-2021-21994 y fue descrita como una falla de autenticación incorrecta en SFCB. La falla recibió un puntaje de 7.0/10 acorde a la escala del Common Vulnerability Scoring System (CVSS).
Según el reporte, los actores de amenazas con acceso de red al puerto 5989 en ESXi pueden enviar solicitudes especialmente diseñadas para omitir la autenticación SFCB. La vulnerabilidad solo puede ser abusada si el servicio SFCB está en ejecución. Sin embargo, este servicio no está habilitado de forma predeterminada.
La alerta de seguridad también se refiere a CVE-2021-21995, una vulnerabilidad de lectura fuera de límites en ESXi OpenSLP que podría conducir a un escenario de denegación de servicio (DoS). Esta falla recibió un puntaje CVSS de 5.3/10.
El error podría ser aprovechado por actores de amenazas con acceso de red al puerto 427 en ESXi para causar una condición DoS. La compañía ha publicado una serie de recomendaciones de soluciones para ambas vulnerabilidades y también ha lanzado parches, y aconseja a los clientes que los instalen lo antes posible.
Finalmente, el reporte detalla el hallazgo de CVE-2021-22000, una vulnerabilidad en VMware ThinApp que existe debido a la carga insegura de archivos DLL que recibió un puntaje CVSS de 6.8/10.
El error podría ser aprovechado por un actor de amenazas con privilegios reducidos para elevar los privilegios al nivel de administrador en el sistema operativo Windows en el que está instalada la aplicación vulnerable.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
