Vulnerabilidad crítica en VMware Workstation y Fusion

VMware ha publicado una actualización de seguridad para corregir
vulnerabilidades en VMware Workstation y Fusión que podrían permitir
desde un sistema invitado ejecutar código arbitrario en el sistema
anfitrión.

VMware es un software que permite ejecutar diferentes sistemas
operativos en un mismo PC de forma virtual. Entre otras aplicaciones,
VMware es muy utilizado en seguridad informática por la versatilidad
que ofrece. Por ejemplo, se suele utilizar de forma habitual en la
investigación del malware, ya que permite ejecutar y analizar los
especímenes en entornos virtuales controlados.

El problema, considerado crítico, reside en la funcionalidad arrastrar
y soltar (drag-and-drop) de VMware Workstation y Fusion por una
vulnerabilidad de acceso a memoria fuera de límites. Como contramedida
en Workstation Pro y Fusion, el problema no puede explotarse si las
funcionalidades de arrastrar y soltar y de copiar y pegar están
desactivadas. Esta contramedida no está disponible en Workstation
Player.

Está vulnerabilidad está considerada crítica, pues es de las más graves
que pueden darse en entornos virtuales: escapar del entorno virtual y
lograr ejecutar código en el sistema anfitrión. Se ha asignado el
CVE-2016-7461.

https://twitter.com/VMwareSRC/status/798062750442237952

El fallo fue reportado a través del evento PwnFest, una competición de
hacking (similar al conocido Pwn2Own) que tuvo lugar en Corea del Sur en
el marco de la conferencia de seguridad Power Of Community 2016. Fue
descubierto por los investigadores Qinghao Tang y Xinlei Ying del equipo
Qihoo 360’s Marvel Team y JungHoon Lee (lokihardt) que fueron
recompensados con un premio de 150.000 dólares. VMware recibió los
detalles de la vulnerabilidad directamente de los investigadores.

https://twitter.com/VMwareSRC/status/796768517928456192

Afecta a Workstation Pro y Player 12.x en todos los sistemas y a Fusion
y Fusion Pro 8.x en Mac OS X.

VMware ha publicado versiones actualizadas para evitar el problema
disponible desde:
VMware Workstation Pro 12.5.2
https://www.vmware.com/go/downloadworkstation
VMware Workstation Player 12.5.2
https://www.vmware.com/go/downloadplayer
VMware Fusion Pro / Fusion 8.5.2
https://www.vmware.com/go/downloadfusion

Ver información original al respecto en Fuente:
http://unaaldia.hispasec.com/2016/11/vulnerabilidad-critica-en-vmware.html#comment-form