En las ultimas investigaciones de Microsoft referentes a ataques sobre infraestructuras con VMware, se llevaron una sorpresa al averiguar como los hackers conseguían obtener el control de administrador sobre el hipervisor de VMware. Resulta que era tan simple como crear un grupo llamado "ESX Admins" e introducir los usuarios con los que quieres realizar el escalado de privilegios en dicho grupo, incluso aunque el usuario esté recién creado. En palabras de Microsoft
Un análisis más detallado de la vulnerabilidad reveló que los hipervisores VMware ESXi unidos a un dominio de Active Directory consideran que cualquier miembro de un grupo de dominio llamado “Administradores de ESX” tiene acceso administrativo completo de forma predeterminada. Este grupo no es un grupo integrado en Active Directory y no existe de forma predeterminada. Los hipervisores ESXi no validan la existencia de dicho grupo cuando el servidor se une a un dominio y siguen tratando a cualquier miembro de un grupo con este nombre con acceso administrativo completo, incluso si el grupo no existía originalmente. Además, la pertenencia al grupo se determina por nombre y no por identificador de seguridad (SID).
Enlace directo a la publicación de Microsoft AQUI.
Estos permisos se obtienen prácticamente con 2 comandos:
- net group “ESX Admins” /domain /add
- net group “ESX Admins” username /domain /add
La buena noticia es que la vulnerabilidad se ha hecho publica cuando se ha anunciado su parcheo.
La mala, es que el parcheo aplica a partir de la versión ESXi80U3-24022510. Ver notas de Broadcom AQUI.
Hay un workaround que también funciona en los ESXi 7.0, consistente en realizar los siguientes cambios en las opciones avanzadas del ESXi:
- Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd from true to false
- Config.HostAgent.plugins.vimsvc.authValidateInterval from 1440 to 90
- Config.HostAgent.plugins.hostsvc.esxAdminsGroup from "ESX Admins" to ""
Aquí, vaya:
Así que ya sabéis, toca actualizar con carácter de urgencia, y más ahora, que el ciclo de vida de ESXi7 finaliza el año que viene.
No hay comentarios:
Publicar un comentario
¡Gracias por colaborar en este blog con tus comentarios! :)