VMware: la falla di vCenter Server è ancora da correggere

Nelle scorse ore, VMware ha provveduto a informare gli utenti del fatto che vCenter Server 8.0, ovvero l’ultima versione disponibile, è ancora in attesa di una patch per far fronte alla vulnerabilità di escalation di privilegi considerata di gravità elevata che era stata divulgata a novembre del 2021. È quindi trascorso quasi un anno, ma non è stato ancora posto rimedio alla cosa.

VMware: la vulnerabilità di vCenter Server è ancora da correggere

La falla in questione, siglata come CVE-2021-22048, è stata trovata da Yaron Zinar e Sagi Sheinfeld di CrowdStrike nel meccanismo IWA (Integrated Windows Authentication) di vCenter Server e va ad interessare anche le distribuzioni della piattaforma cloud ibrida Cloud Foundation di VMware.

Un eventuale malintenzionato potrebbe servirsene per elevare i privilegi a un gruppo più alto su server non patchati. VMware ritiene che tale falla può essere usata solo dagli aggressori che sfruttano una rete vettoriale adiacente al server di destinazione come parte di attacchi a complessità elevata, i quali richiedono privilegi bassi e zero interazioni con l’utente.

Nonostante VMware abbia rilasciato degli aggiornamenti di sicurezza a luglio 2022 per risolvere la falla per i server che eseguivano l’ultima versione disponibile di vCenter Server del momento, dopo 11 giorni l'azienda ha ritirato la patch perché la vulnerabilità non era stata appunto risolta e per aver causato crash del Secure Token Server.

Da tenere presente che anche se manca ancora una patch, VMware fornisce una soluzione alternativa che consente agli amministratori di far fronte alla situazione, almeno momentaneamente: per bloccare i tentativi di attacco, è consigliabile passare ad Active Directory tramite l'autenticazione LDAP O Identity Provider Federation per AD FS (solo vSphere 7.0) dall'autenticazione integrata di Windows (IWA) interessato.

Ovviamente pure installare soluzioni di sicurezza adeguate può permettere di andare incontro a problemi, come nel caso di McAfee Total Protection.