Vulnerabilidad crítica en VMware Workstation y Fusion
VMware ha publicado una actualización de seguridad para corregir una vulnerabilidad en VMware Workstation y Fusión que podría permitir desde un sistema invitado ejecutar código arbitrario en el sistema anfitrión.
VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. Por ejemplo, se suele utilizar de forma habitual en la investigación del malware, ya que permite ejecutar y analizar los especímenes en entornos virtuales controlados.
El problema, considerado crítico, reside en la funcionalidad arrastrar y soltar (drag-and-drop) de VMware Workstation y Fusion por una vulnerabilidad de acceso a memoria fuera de límites. Un usuario local en un sistema invitado podría conseguir ejecutar código arbitrario y privilegios elevados en el sistema anfitrión. Como contramedida en Workstation Pro y Fusion, el problema no puede explotarse si las funcionalidades de arrastrar y soltar y de copiar y pegar están desactivadas. Esta contramedida no está disponible en Workstation Player.
Está vulnerabilidad está considerada crítica, pues es de las más graves que pueden darse en entornos virtuales: escapar del entorno virtual y lograr ejecutar código en el sistema anfitrión. Se ha asignado el CVE-2017-4901.
https://twitter.com/VMwareSRC/status/841611960785522688
Afecta a Workstation Pro y Player 12.x en todos los sistemas y a Fusion y Fusion Pro 8.x en Mac OS X.
VMware ha publicado versiones actualizadas para evitar el problema, disponibles desde:
VMware Workstation Pro 12.5.4
https://www.vmware.com/go/downloadworkstation
VMware Workstation Player 12.5.4
https://www.vmware.com/go/downloadplayer
VMware Fusion Pro / Fusion 8.5.5
https://www.vmware.com/go/downloadfusion
Ver información original al respecto en Fuente:
http://unaaldia.hispasec.com/2017/03/vulnerabilidad-critica-en-vmware.html
NOTA: Los interesados en información sobre contrato de soporte Asistencia Tecnica de SATINFO y/o licencia de uso/actualizaciones de sus utilidades, contacten con info@satinfo.es
__________
Este blog no se hace responsable de las opiniones y comentarios de los textos en los que se cita la Fuente, ofreciendo su contenido solo para facilitar el acceso a la información del mismo.
Puedes seguir cualquier respuesta a esta entrada mediante el canal RSS 2.0. Los comentarios y los pings están cerrados.
Los comentarios están cerrados.