Vulnerabilità in VMware Cloud Director mette a rischio l'intera infrastruttura aziendale

Uno scorretto controllo dell'input permetteva di prendere il controllo delle macchine su cui era installato VMware Cloud Director, una piattaforma di gestione dei data center e di integrazione con il cloud. Il software, utilizzato da fornitori di servizi cloud e da aziende di grandi dimensioni, è stato aggiornato a metà maggio per correggere la vulnerabilità.

Una vulnerabilità in VMware Cloud Director permetteva di prendere il controllo dell'infrastruttura

Scoperta durante un audit di sicurezza in un'azienda nella lista Fortune 500, la vulnerabilità è stata scoperta ai primi di aprile e ha ricevuto l'identificativo CVE-2020-3956. Si tratta di una gestione non corretta dell'input, sfruttabile sia tramite l'interfaccia Web che tramite API, che permette di eseguire codice arbitrario sulla macchina obiettivo, lasciando dunque la porta aperta all'esecuzione di qualsivoglia software da parte di chi riuscisse ad accedere ai sistemi.

La vulnerabilità è presente nelle versioni di VMware Cloud Director inferiori alla 10.0.0.2, alla 9.7.0.5, alla 9.5.0.6 e alla 9.1.0.4. Citadelo, società che si occupa di penetration testing e che ha scoperto il problema, afferma di essere riuscita a vedere i database di sistema dove vengono archiviate le password sfruttando la vulnerabilità. L'ipotesi fatta da Citadelo è che sia possibile modificare tali database per compromettere l'accesso, scalando i privilegi e ottenendo la possibilità di modificare le macchine virtuali e di avere accesso alle credenziali di accesso di ulteriori utenti.

VMware ha rilasciato delle patch il 19 maggio, come rende noto ZDNet, correggendo la vulnerabilità in tutte le versioni di Cloud Director attualmente supportate.

Ulteriori dettagli sono disponibili sull'avviso di sicurezza rilasciato da VMware.