Pre- Authenticated RCE In VMware VRealize Network Insight (CVE-2023-20887)
Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de VMware Aria Operations for Networks. No se requiere autenticación para aprovechar esta vulnerabilidad.
La falla específica existe dentro del método createSupportBundle.
El problema se debe a la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de raíz.
CVSS SCORE: 9.8
AFFECTED VENDORS: VMware
AFFECTED PRODUCTS: Aria Operations for Networks
VMware lanzó actualizaciones de seguridad para abordar tres vulnerabilidades en Aria Operations for Networks, que anteriormente se conocía como vRealize Network Insight. Las vulnerabilidades podrían resultar en la divulgación de información y la ejecución remota de código. Se recomienda a los usuarios de las versiones VMware Aria Operations for Networks 6.x que apliquen los parches enumerados en el artículo de VMware KB sobre estas vulnerabilidades. Los CVE parcheados en estas actualizaciones son CVE-2023-20887, CVE-2023-20888 y CVE-2023- 20889. Estas vulnerabilidades podrían permitir que un actor malintencionado realice un ataque de inyección de comandos que resulte en la ejecución remota de código o la divulgación de información.
Análisis de la vulnerabilidad
La vulnerabilidad se aprovecha del procedimiento “createSupportBundle” el cual se encarga de la creación del paquete de soporte. El cual tiene la siguiente estructura:
struct{
customerId,
nodeId,
requestId,
evictionRequestIDs
}
El nodeId se pasa al procedimiento “evictPublishedSupportBundles” el cual es vulnerable a una inyección de comando al colocar el nodeId dentro de un comando. Al crear una solicitud Thrift RPC, es posible explotar el procedimiento createSupportBundle.
Referencias:
sinsinology/CVE-2023-20887: VMWare vRealize Network Insight Pre-Authenticated RCE (CVE-2023-20887) (github.com)
VMware patches critical vulnerabilities in Aria Operations for Networks (malwarebytes.com) ZDI-23-840 | Zero Day Initiative
Pre-authenticated RCE in VMware vRealize Network Insight (summoning.team)
.jpg)
