Falla Crítica de RCE en VMware vCenter Bajo Explotación Activa, CISA Advierte

Vulnerabilidad Crítica de Ejecución Remota de Código en VMware vCenter Explotada en la Naturaleza, Alerta CISA

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha añadido una vulnerabilidad crítica de ejecución remota de código (RCE) en VMware vCenter Server a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), confirmando su explotación activa. Las agencias federales han sido mandatadas a asegurar sus sistemas en un plazo de 21 días —hasta el 20 de agosto de 2024— bajo la Directiva Operativa Vinculante (BOD) 22-01.

Detalles Técnicos de CVE-2024-37079

La vulnerabilidad, identificada como CVE-2024-37079 (puntuación CVSS pendiente), afecta a VMware vCenter Server, una plataforma centralizada para la gestión de entornos virtualizados. Aunque VMware no ha revelado todos los detalles técnicos, la falla está clasificada como una vulnerabilidad de RCE que permite a atacantes no autenticados ejecutar código arbitrario en sistemas vulnerables. Detalles adicionales incluyen:

• Versiones Afectadas: VMware vCenter Server 7.0 y 8.0 (versiones específicas de parches aún no divulgadas).
• Vector de Ataque: La explotación probablemente ocurre a través del acceso a la interfaz de gestión de vCenter Server.
• Mitigación: VMware ha lanzado parches; se recomienda su aplicación inmediata.

Impacto y Panorama de Amenazas

vCenter Server es un objetivo de alto valor para actores de amenazas debido a su rol en la gestión de infraestructuras virtualizadas, incluyendo hosts ESXi, máquinas virtuales (VMs) y recursos de almacenamiento/red. La explotación exitosa de CVE-2024-37079 podría permitir:

• Compromiso total de instancias de vCenter Server.
• Movimiento lateral hacia hosts ESXi y VMs conectados.
• Exfiltración de datos o despliegue de ransomware en entornos empresariales.

La inclusión de esta falla en el catálogo KEV de CISA subraya la urgencia, ya que su explotación activa sugiere que actores de amenazas —posiblemente grupos de amenazas persistentes avanzadas (APT) u operadores de ransomware— ya están aprovechando la vulnerabilidad.

Recomendaciones para Equipos de Seguridad

1. Aplicar Parches Inmediatamente: Instalar las actualizaciones de seguridad de VMware para vCenter Server sin demora.
2. Segmentación de Red: Aislar las instancias de vCenter Server de redes no confiables para limitar la exposición.
3. Monitoreo: Implementar sistemas de detección/prevención de intrusiones (IDS/IPS) para identificar intentos de explotación.
4. Controles de Acceso: Restringir el acceso administrativo a vCenter Server solo al personal autorizado.
5. Respaldos de Sistemas Críticos: Asegurar que existan copias de seguridad offline de la infraestructura virtualizada para recuperación.

Para las agencias federales, el cumplimiento de la directiva de CISA es obligatorio. Las organizaciones del sector privado deben priorizar la aplicación de parches debido a la explotación confirmada en la naturaleza.

Reportaje original de Sergiu Gatlan para BleepingComputer.