VMware soluciona una serie de vulnerabilidades en Workstation y Fusion descubiertas recientemente en Pwn2Own

Se han identificado cuatro vulnerabilidades graves en los productos VMware Workstation y Fusion que podrían ser explotadas por actores maliciosos para acceder a información confidencial, provocar condiciones de denegación de servicio y ejecutar código arbitrario.

Los problemas afectan a las versiones 17.x de Workstation y 13.x de Fusion. Se recomienda actualizar los programas a las versiones 17.5.2 y 13.5.2 respectivamente para mitigar las vulnerabilidades. Broadcom, propietaria de los servicios de virtualización de VMware, publicó esta advertencia en su sitio web oficial.

Descripción de las vulnerabilidades:

1. CVE-2024-22267 (puntuación CVSS 9.3). Una vulnerabilidad de uso después de la liberación en un dispositivo Bluetooth que podría ser aprovechada por un atacante con derechos administrativos locales en una máquina virtual para ejecutar código en nombre de un proceso VMX que se ejecuta en el host.
2. CVE-2024-22268 (puntuación CVSS 7.1). Un atacante con acceso no administrativo a una máquina virtual con gráficos 3D habilitados podría explotar una vulnerabilidad de desbordamiento de búfer basada en montón en la funcionalidad Shader para causar una condición de denegación de servicio (DoS).
3. CVE-2024-22269 (puntuación CVSS 7.1). Una vulnerabilidad de divulgación de información en un dispositivo Bluetooth que podría ser aprovechada por un atacante con derechos administrativos locales en una máquina virtual para leer información confidencial contenida en la memoria del hipervisor.
4. CVE-2024-22270 (puntuación CVSS 7.1). Un atacante con derechos administrativos locales en una máquina virtual podría aprovechar una vulnerabilidad de divulgación de información en la funcionalidad Host Guest File Sharing (HGFS) para leer información privilegiada de la memoria del hipervisor.

Se recomienda a los usuarios deshabilitar el soporte de Bluetooth en las máquinas virtuales vulnerables, así como desactivar la aceleración 3D hasta que se instalen las actualizaciones. Para CVE-2024-22270 no hay mitigación temporal, por lo que es necesario actualizarse a las últimas versiones del software para mitigar esta vulnerabilidad.

Cabe destacar que las vulnerabilidades CVE-2024-22267, CVE-2024-22269 y CVE-2024-22270 fueron demostradas inicialmente por los equipos STAR Labs SG y Theori en el concurso Pwn2Own que se celebró recientemente en Vancouver.