Vulnerabilidad de VMware en ESXi
Hoy compartimos un nuevo aviso de seguridad (VMSA-2021-0014) emitido por VMware gracias al reporte privado enviado a VMware por Douglas Everson. Este nuevo aviso advierte sobre vulnerabilidades en la autenticación haciendo uso de SFCB y la posibilidad de realizar denegación de servicio en los hipervisores mediante OpenSLP.
En este artículo se informará todo lo necesario para un rápido entendimiento de la amenaza y poder tomar una pronta acción para la mitigación. También se brinda un pequeño glosario.
Criticidad de Vulnerabilidades
¿Qué implican estas vulnerabilidades?
La vulnerabilidad CVE-2021-21994 afecta a Small Footprint CIM Broker permitiendo a un atacante con acceso de red al puerto 5989 de ESXi realizar un bypass de autenticación mediante el envío de una petición específicamente diseñada para este fin.
La vulnerabilidad CVE-2021-21994 permite a un atacante con acceso de red al puerto 427 en un ESXi realizar una denegación de servicio lanzando una lectura fuera de los límites de pila en el servicio OpenSLP.
¿Cuál es el alcance?
El alcance de estas vulnerabilidades alcanza a:
VMware ESXi 6.0, VMware ESXi 6.7 y VMware ESXi 7.0
VMware Cloud Foundation (ESxXi) 4.x y Cloud Foundation (ESXi) 3.x
¿Cómo proteger mi infraestructura?
Protección contra CVE-2021-21994
En lo que respecta a este caso VMware liberó un nuevo parche para cada una de las versiones mencionadas.
Parches liberados
ESXi
Para la versión 6.5 se liberó el patch ESXi650-202107401-SG que corrige el problema. Luego de instalar este parche, se tendrá el número de build 18071574.
Para corregir esta vulnerabilidad en la versión 6.7 se liberó el patch ESXi670-202103101-SG. Luego de aplicado, el nuevo build number será 17700523.
En el caso de la versión 7.0 de ESXi se liberó el patch ESXi70U2-17630552, cuyo nuevo build es 17630552.
Cloud Foundation (ESXi)
Cloud Foundation 4.x - La versión liberada con el fix para esta vulnerabilidad es la 4.3
Cloud Foundation 3.x - La versión liberada con el fix para esta vulnerabilidad es la 3.10.2.
Importante: es posible que lo primero que realices sea revisar tus ESXi para comprobar su versión y número de build. Si es igual a la indicada más arriba, claramente estás protegido por esta vulnerabilidad en particular. En caso de que no coincida y no sepas con certeza si corresponde aplicar el parche o no, te recomendamos que consultes esta Knowledge Base para revisar la fecha de lanzamiento de tu versión.
Procedimiento
Consideraciones
3 . Crear una nueva baseline con la imagen cargada en el paso anterior y completar los campos necesarios.
4 . Dirigirse al host que se desee aplicar el parche y añadir la nueva línea base. 
5 . Comprobar el cumplimiento de las líneas base, hacer click en la que se ha creado en el paso anterior y hacer click en remediar.
6 . Repetir el paso con cada host afectado una vez que se comprobó que el primero quedó funcionando correctamente.
Workaround
En todo caso lo recomendable es realizar el parcheado de los equipos, pero en caso de que por cuestiones de negocio o cuestiones inherentes a la infraestructura sea difícil aplicarlo de forma inmediata, es posible realizar un Workaround
El workaround consiste en deshabilitar el servicio SFCB en cada ESXi afectado. Para esto, desde vCenter, debe seguir el siguiente procedimiento:
1 . Inicie sesión en vCenter con los permisos necesarios para modificar los servicios.
2 . Dirigirse al host ESXi afectado.
3. Ir a la sección de configuración y luego, en el apartado de System, posicionarse sobre servicios.
4 . Buscar el servicio CIM Server, como se muestra a continuación.
5 . Una vez ubicado, detenerlo en caso de que esté en ejecución.
6 . Por último, hacer clic en “Editar Política de Inicio / Edit Startup Policy” y seleccionar “Iniciar y detener manualmente / Start and stop manually”.
7 . Repetir este paso en cada ESXi afectado en el que desee aplicar el workaround.
Nota: tan pronto como sea posible se recomienda aplicar el parche y, una vez realizado, dejar las configuraciones que estaban por default.
Protección contra CVE-2021-21995
5 . Seleccionar el servicio SLPD y detenerlo.
7 . Repetir el procedimiento para cada nodo afectado
Glosario
¿Qué es VMSA? La sigla VMSA representa VMware Security Advisory y forma parte de VMWare Security Solutions. Su misión es documentar remediaciones para las vulnerabilidades de seguridad reportadas en los productos de VMware. Una vez recibido los reportes o detectadas por el fabricante, se notifican, se asigna un identificador CVE y se asigna un puntaje CVSS.
¿Qué es CVE? Common Vulnerabilities and Exposures es una base de datos de vulnerabilidades que son públicamente conocidas. Su supervisión corre por cuenta de MITRE Corporation, con asistencia financiera de la Agencia de Seguridad de Ciberseguridad e Infraestructura del Departamento de Seguridad Nacional de Estados Unidos. En este caso, a las vulnerabilidades que se registran en en esta base, a su vez, se les asigna un score conforme a CVSS para poder identificar la complejidad de la vulnerabilidad y poder gozar de un criterio más exacto a la hora de la toma de decisiones.
¿Qué es CVSS? Es un estándar abierto bajo dominio de FIRST. CVSS representa “Common Vulnerability Score System” que, como su nombre indica, es un sistema de puntaje para estimar el impacto que pueden llegar a implicar las vulnerabilidades. A la hora de determinar qué nivel de riesgo puede determinar una amenaza se emplea una escala que se establece entre el 0 y 10.
En base a esto se establece tres niveles de riesgo:
Severidad baja: 0.0 - 3.9
Severidad media: 4.0 - 6.9
Severidad alta: 7.0 - 10.0
El método con el que se calcula el impacto con CVSS excede el alcance de este artículo.
¿Necesitás ayuda para resolver el problema?
Dejanos tus datos para que nuestro equipo se ponga inmediatamente en contacto con vos.