CISA добави критична уязвимост в Cloud Foundation на VMware към каталога си с експлоатирани в реалността пропуски в сигурността.

Недостатъкът (проследен като CVE-2021-39144) е открит в библиотеката с отворен код XStream, използвана от уязвимите продукти на VMware, и му е присвоена почти максимална оценка за сериозност от 9,8/10 от VMware.

Неавтентифицирани хакери могат да използват грешката при атаки с ниска сложност, които няма да се нуждаят от взаимодействие с потребителя, за да изпълняват произволен код от разстояние с привилегии на root на непоправени устройства.

„Поради неавтентифицирана крайна точка, която използва XStream за сериализиране на входни данни във VMware Cloud Foundation (NSX-V), злонамерен участник може да получи отдалечено изпълнение на код в контекста на „root“ на уреда“, обяснява VMware.

VMware пусна актуализации за сигурност, за да отстрани дефекта CVE-2021-39144, за който съобщиха Sina Kheirkhah от MDSec и Steven Seeley от Source Incite на 25 октомври. Поради сериозността на проблема VMware също така издаде кръпки за някои излезли от употреба продукти.

В деня, в който бяха пуснати кръпките за CVE-2021-39144, Kheirkhah пусна и публикация в блога с технически подробности и код за експлойт на концепцията (proof-of-concept – PoC).

Активно експлоатирани от началото на декември

Решението на CISA да включи уязвимостта CVE-2021-39144 в своя каталог на известните експлоатирани уязвимости (KEV) последва потвърждение от VMware, че бъгът се експлоатира в дивата природа.

„Обновена консултация с информация, че VMware е получила съобщения за дейности по експлоатиране в реалността, включващи CVE-2021-39144“, заяви компанията в актуализация на първоначалната консултация в четвъртък.

Това стана, след като в понеделник фирмата за киберсигурност Wallarm разкри, че експлоатацията на CVE-2021-39144 е започнала само няколко седмици след пускането на актуализациите за сигурност и продължава поне от началото на декември 2022 г.

„Екипът на Wallarm Detect издирва и анализира десетки уязвимости всеки ден, а тази е особено интересна, защото е експлоатирана над 40 000 пъти през последните 2 месеца. Активното експлоатиране е започнало на 8 декември 2022 г. и продължава“, заявиха от Wallarm.

„Ако бъдат експлоатирани успешно, въздействието на тези уязвимости може да бъде катастрофално, позволявайки на нападателите да изпълняват произволен код, да крадат данни и/или да поемат контрол над мрежовата инфраструктура.“

С включването на дефекта в каталога на KEV CISA нареди на федералните агенции на САЩ да защитят системите си от атаки в рамките на три седмици, до 31 март, за да предотвратят атаки, които могат да бъдат насочени към техните мрежи.

Въпреки че задължителната оперативна директива (BOD 22-01) от ноември 2021 г., която стои зад заповедта на CISA, се отнася само за федералните агенции на САЩ, Агенцията за киберсигурност също така настоятелно призова всички организации да поправят този бъг, за да защитят сървърите си от продължаващите атаки.

„Този тип уязвимости са чести вектори на атаки за злонамерени кибернетични престъпници и представляват значителен риск за федералните предприятия“, заявява CISA.