Inicio / Alerta Temprana / Avisos Seguridad / Vulnerabilidad en VMware ESXi y ESX

Vulnerabilidad en VMware ESXi y ESX

Fecha de publicación: 
26/12/2013
Importancia: 
4 - Alta
Recursos afectados: 
  • VMware ESXi 5.5 without patch ESXi550-201312001
  • VMware ESXi 5.1 without patch ESXi510-201310001
  • VMware ESXi 5.0 without patch update-from-esxi5.0-5.0_update03
  • VMware ESXi 4.1 without patch ESXi410-201312001
  • VMware ESXi 4.0 without patch ESXi400-201310001
  • VMware ESX 4.1 without patch ESX410-201312001
  • VMware ESX 4.0 without patch ESX400-201310001
Descripción: 

VMware ESXi y ESX permiten acceso no autorizado a ficheros a través del vCenter Server y ESX.

Solución: 

VMware ha puesto disponibles parches para las versiones afectadas. No obstante, estos parches no solucionan el problema para usuarios que hayan modificado manualmente el fichero /etc/vmware/configrules, que tendrán que aplicar lo expuesto en el artículo 2066856 de la VMware Knowledge Base después de aplicar el parche.

Para mitigar los efectos de la vulnerabilidad, en una instalación por defecto del vCenter Server, no asignar los roles predefinidos "Virtual Machine Power User" o "Resource Pool Administrator" a ningún usuario no privilegiado. Restringir también el número de usuarios de vCenter Server con privilegio "Add Existing Disk".

Detalle: 

VMware ESXi y ESX contienen una vulnerabilidad en el manejo de ciertos descriptores de fichero. Este problema puede permitir a un usuario del vCenter Server con el privilegio "Add Existing Disk" obtener permisos de lectura y escritura a ficheros arbitrarios en ESXi o ESX.

En ESX, un usuario no privilegiado puede obtener permisos de lectura y escritura a ficheros arbitrarios. La modificación de determinados ficheros puede permitir ejecución de código después de reiniciar el sistema.

Usuarios o grupos no privilegiados de vCenter Server que son asignados el rol predefinido "Virtual Machine Power User" o "Resource Pool Administrator" tienen el privilegio "Add Existing Disk".