Cabecera-v2-web.jpg

Vulnerabilidad crí­tica en VMware Workstation y Fusion


VMware ha publicado una actualización de seguridad para corregir vulnerabilidades en VMware Workstation y Fusión que podrí­an permitir desde un sistema invitado ejecutar código arbitrario en el sistema anfitrión.

VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. Por ejemplo, se suele utilizar de forma habitual en la investigación del malware, ya que permite ejecutar y analizar los especí­menes en entornos virtuales controlados.

El problema, considerado crí­tico, reside en la funcionalidad arrastrar y soltar (drag-and-drop) de VMware Workstation y Fusion por una vulnerabilidad de acceso a memoria fuera de lí­mites. Como contramedida en Workstation Pro y Fusion, el problema no puede explotarse si las funcionalidades de arrastrar y soltar y de copiar y pegar están desactivadas. Esta contramedida no está disponible en Workstation Player.

Está vulnerabilidad está considerada crí­tica, pues es de las más graves que pueden darse en entornos virtuales: escapar del entorno virtual y lograr ejecutar código en el sistema anfitrión. Se ha asignado el CVE-2016-7461.

El fallo fue reportado a través del evento PwnFest, una competición de hacking (similar al conocido Pwn2Own) que tuvo lugar en Corea del Sur en el marco de la conferencia de seguridad Power Of Community 2016. Fue descubierto por los investigadores Qinghao Tang y Xinlei Ying del equipo Qihoo 360ꞌs Marvel Team y JungHoon Lee (lokihardt) que fueron recompensados con un premio de 150.000 dólares. VMware recibió los detalles de la vulnerabilidad directamente de los investigadores.

Afecta a Workstation Pro y Player 12.x en todos los sistemas y a Fusion y Fusion Pro 8.x en Mac OS X.

VMware ha publicado versiones actualizadas para evitar el problema disponible desde:


Fuente: hispasec.com


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tencnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11