VMware ha rilasciato diverse patch per le vulnerabilità rilevate durante l’evento di sicurezza della Tianfu Cup. La Tianfu Cup si è svolta in Cina dal 16 al 17 ottobre 2021, le correzioni e i dettagli delle vulnerabilità sono stati recentemente rilasciati tramite un avviso di sicurezza di VMware. L’azienda afferma che non vi sono indicazioni per quanto riguarda lo sfruttamento in natura.
Secondo l’avviso di sicurezza, nell’evento sono state rilevate delle vulnerabilità che interessano VMware ESXi, VMware Workstation Pro/Player, VMware Fusion Pro/Fusion e VMware Cloud Foundation e NSX Data Center per vSphere.
Ecco l’elenco dei CVE:
- CVE-2021-22040 (CVSS score: 8.4) – Use-after-free vulnerability in XHCI USB controller
- CVE-2021-22041 (CVSS score: 8.4) – Double-fetch vulnerability in UHCI USB controller
- CVE-2021-22042 (CVSS score: 8.2) – ESXi settingsd unauthorized access vulnerability
- CVE-2021-22043 (CVSS score: 8.2) – ESXi settingsd TOCTOU vulnerability
- CVE-2021-22050 (CVSS score: 5.3) – ESXi slow HTTP POST denial-of-service vulnerability
- CVE-2022-22945 (CVSS score: 8.8) – CLI shell injection vulnerability in the NSX Edge appliance component
Il corretto sfruttamento dei difetti potrebbe consentire a un attore malintenzionato con privilegi di amministratore locale su una macchina virtuale di eseguire codice come processo VMX della macchina virtuale in esecuzione sull’host. Potrebbe anche consentire all’avversario con accesso a settingsd di aumentare i propri privilegi scrivendo file arbitrari.
Inoltre, la CVE-2021-22050 potrebbe essere armato da un malintenzionato con accesso di rete a ESXi per creare una condizione DoS sovraccaricando il servizio rhttpproxy con più richieste. Ultimo ma non meno importante, la CVE-2022-22945 potrebbe consentire a un utente malintenzionato con accesso SSH a un’appliance NSX-Edge (NSX-V) di eseguire comandi arbitrari sul sistema operativo come utente root.
VMware esorta i propri utenti ad applicare immediatamente le patch relative ai propri prodotti e versioni. Tali prodotti, versioni e patch sono disponibili nell’avviso di sicurezza ufficiale di VMware:
https://www.vmware.com/security/advisories/VMSA-2022-0004.html