VMWare ha publicado el
boletín de seguridad VMSA-2013-0016 donde soluciona una vulnerabilidad en los
productos VMWare ESX y ESXi que podría permitir el salto de restricciones y
potencialmente la ejecución de código arbitrario. La importancia asignada a la
vulnerabilidad es alta.
VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de información y redes en múltiples máquinas virtuales.
Recursos
afectados
- VMware ESXi 5.5 without patch ESXi550-201312001
- VMware ESXi 5.1 without patch ESXi510-201310001
- VMware ESXi 5.0 without patch update-from-esxi5.0-5.0_update03
- VMware ESXi 4.1 without patch ESXi410-201312001
- VMware ESXi 4.0 without patch ESXi400-201310001
- VMware ESX 4.1 without patch ESX410-201312001
- VMware ESX 4.0 without patch ESX400-201310001
Detalles e Impacto potencial de la vulnerabilidad
corregida
- El error, identificado con CVE-2013-5973 se debe al manejo incorrecto de archivos de descripción de máquinas virtuales. Un usuario sin privilegios de vCenter Server podría obtener acceso de lectura y escritura a archivos arbitrarios del sistema, según que archivos modifique podría incluso lograr ejecutar código después de un reinicio del equipo.
- Solo los usuarios de vCenter Server con el privilegio “Add Existing Disk” podrían aprovechar este fallo, decir que usuarios o grupos que tengan el rol "Virtual Machine Power User" o "Resource Pool Administrator" tienen este privilegio.
Recomendación
- En https://www.vmware.com/patchmgr/download.portal se encuentran disponibles los parches para su descarga.
- VMware ha puesto disponibles parches para las versiones afectadas. No obstante, estos parches no solucionan el problema para usuarios que hayan modificado manualmente el fichero /etc/vmware/configrules, que tendrán que aplicar lo expuesto en el artículo 2066856 de la VMware Knowledge Base después de aplicar el parche.
- Para mitigar los efectos de la vulnerabilidad, en una instalación por defecto del vCenter Server, no asignar los roles predefinidos "Virtual Machine Power User" o "Resource Pool Administrator" a ningún usuario no privilegiado. Restringir también el número de usuarios de vCenter Server con privilegio "Add Existing Disk".
Más información:
VMSA-2013-0016 http://www.vmware.com/security/advisories/VMSA-2013-0016.html
Fuente: Hispasec e Inteco
