CVE-2024-37085mediumbajo ataqueransomwareCWE-305

CVE-2024-37085: fallo de gravedad media en VMware ESXi

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear VMware Cloud Foundation+ Monitorear ESXi

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

68Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil, tiene prueba de concepto pública y 3 grupo(s) de amenaza la utilizan.

ssvc Actcvss 6.8epss 27%
de la publicación al arma38 días
Publicada en NVD25 jun
1ª PoC+38d
CISA KEV+35d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 11/2024Ataques Cibernéticos a Sistemas de Virtualizaçãoleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Quién la explota — 3

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

RansomwareBlackByte MITRE ATT&CK
RansomwareAkira perfil público del grupo
Ransomwareblackbasta perfil público del grupo
Acción exigida por CISAplazo federal: 2024-08-20

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

VMware ESXi puede ser comprometido si un atacante con derechos administrativos en Active Directory elimina y recrea el grupo de administradores predeterminado, eludiendo la autenticación y obteniendo acceso total al host. Esto importa porque permite control completo de la infraestructura virtualizada.

Detalle técnico

Existe un bypass de autenticación en VMware ESXi cuando está configurado para gestión de usuarios mediante AD (CWE-305). Un atacante con permisos suficientes en AD puede eliminar el grupo de administradores ESXi configurado y recrearlo con su propia membresía, eludiendo los controles de acceso previstos y obteniendo acceso administrativo no autorizado al host ESXi.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

VMware ESXi contains an authentication bypass vulnerability. A malicious actor with sufficient Active Directory (AD) permissions can gain full access to an ESXi host that was previously configured to use AD for user management https://blogs.vmware.com/vsphere/2012/09/joining-vsphere-hosts-to-active-directory.html by re-creating the configured AD group ('ESXi Admins' by default) after it was deleted from AD.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · VMware Cloud Foundationn/a · VMware ESXi
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.