Eespecialistas da Guardicore, em Israel, estudaram o patch publicado pela VMware e construíram uma POC mostrando por que a vulnerabilidade corrigida tem CVSS 9.8
Instalações do vCenter Server versão 6.7 criadas como upgrade de uma versão anterior precisam de patch imediato e urgente: elas têm uma vulnerabilidade tal, que alguém com acesso à rede precisa de apenas três comandos LDAP para criar um usuário com privilégios de administrador. Esse detalhe foi descoberto por especialistas da Guardicore em Israel, depois de examinarem detalhadamente o patch publicado há uma semana pela VMware. Eles descreveram num blog pubicado ontem, dia 16, todas as etapas para explorar a vulnerabilidade. A prova de conceito está num script que os especialistas publicaram no repositório da Guardicore no GitHub, que faz todo o percurso descoberto por eles.
Os especialistas da Guardicore ficaram curiosos com a comunicação da VMware sobre a vulnerabilidade, registrada como CVE-2020-3952 e anunciada na última quinta-feira, dia 9 de Abril. Embora o problema tenha sido registrado com CVSS grau 9.8, sinal geral de perigo, a empresa foi lacônica na descrição, embora a mídia tenha noticiado amplamente o assunto. O problema, informou a empresa está no VMware Directory Service (vmdir), que faz parte do vCenter Server versão 6.7 tanto no Windows quanto em dispositivos virtuais. O problema como “um controle de acesso mal implementado (…)”, que pode “permitir a um agente mal-intencionado ignorar os mecanismos de autenticação”. Na verdade, os especialistas não conseguiram encontrar nenhuma informação técnica sobre o assunto e por isso decidiram pesquisá-lo.
Veja isso
Vulnerabilidade grau 10 no VMware exige patch imediato
VMware planeja unidade de cyber
Foi um trabalho de engenharia reversa de código, na qual eles examinaram as alterações feitas no serviço de diretório do vCenter, para assim reconstruir o fluxo de código com falha que levou a essa vulnerabilidade. No blog, eles explicam melhor: “Nossa análise mostrou que, com três comandos LDAP simples e não autenticados, um invasor com nada mais que acesso à rede no vCenter Directory Service pode adicionar uma conta de administrador ao vCenter Directory. Conseguimos implementar uma prova de conceito para essa exploração, que promove uma aquisição remota de toda a implantação do vSphere”. Esse é o perigo que ganhou nota 9.8.
A vulnerabilidade é ativada por dois problemas críticos no código de manipulação LDAP herdado do vmdir:
- um bug em uma função chamada VmDirLegacyAccessCheck que retorna “acesso concedido” quando as verificações de permissões falham
- uma falha no design de segurança, que concede privilégios de root a uma sessão LDAP sem token, supondo que seja uma operação interna
Segundo os pesquisadores, a medida mais eficaz para mitigar o risco é instalar o patch mais recente para a versão vulnerável do vCenter Server; a instalação da versão mais recente (7.0) também resultará em uma implantação segura do vSphere. “É altamente recomendável limitar o acesso à interface LDAP do vCenter. Na prática, isso significa bloquear qualquer acesso pela porta LDAP (389), exceto para uso administrativo”. Segundo os pesquisadores da Guardicore, “talvez a coisa mais angustiante seja o fato de que a correção do VmDirLegacyAccessCheck foi escrita há quase três anos e só está sendo lançada agora. Três anos é muito tempo para que algo tão crítico não constar do cronograma de lançamentos – especialmente quando se mostra muito mais do que uma escalação de privilégios”.
