Broadcom a publié l’une des mises à jour de sécurité les plus importantes de l’année concernant l’écosystème VMware. La société a corrigé
- Broadcom corrige cinq vulnérabilités dans vCenter, ESX, Workstation et Fusion.
- Deux failles critiques (CVSS 9,8) permettent de compromettre vCenter depuis le réseau.
- Absence de solutions temporaires : la seule défense est l’installation immédiate des correctifs.
- Une troisième vulnérabilité critique concerne ESX et pourrait permettre une évasion d’une machine virtuelle vers l’hôte dans des conditions spécifiques.
- VMware Cloud Foundation et vSphere Foundation bénéficient également de mises à jour de sécurité.
Les vulnérabilités ont été publiées sous l’alerte
Le risque principal réside dans vCenter
La première vulnérabilité,
Selon Broadcom, un attaquant ayant accès au réseau vers le serveur pourrait exploiter cette faille pour éviter le processus normal d’authentification et accéder au système sans autorisation.
L’entreprise lui attribue une note
La seconde vulnérabilité critique,
Il s’agit d’une vulnérabilité de
Pour les deux cas, Broadcom confirme qu’
La seule recommandation consiste à installer les versions corrigées de vCenter.
Les versions concernées pour les branches supportées sont :
Les clients de
Une vulnérabilité dans ESX pouvant permettre une évasion de machine virtuelle
La troisième vulnérabilité majeure est
Elle concerne l’adaptateur réseau virtuel
Broadcom décrit une faille d’écriture hors limites (
Contrairement aux vulnérabilités de vCenter, celle-ci ne peut pas être exploitée à distance depuis Internet.
L’attaquant doit disposer au préalable de
Dans ce cas, il pourrait exécuter du code sur l’
Ce type de vulnérabilités est particulièrement critique dans les fournisseurs cloud et environnements multi-locataires, où la séparation entre clients dépend de l’isolation assurée par l’hyperviseur.
Les machines virtuelles utilisant d’autres adaptateurs réseau virtualisés ne sont pas affectées.
Broadcom corrige cette vulnérabilité par le biais de :
Des corrections également pour Workstation et Fusion
Le bulletin inclut aussi deux vulnérabilités de gravité moindre.
La première,
Sur ESX, elle peut provoquer une
Sur
La gravité varie selon le produit :
Les correctifs sont disponibles via :
La dernière vulnérabilité,
Broadcom la classe comme une vulnérabilité de
Ce problème pourrait permettre à un administrateur d’effectuer certaines actions sans que cela soit correctement enregistré dans les journaux d’audit.
Il ne constitue pas une voie directe pour compromettre le système mais peut compliquer les enquêtes forensiques ou les audits.
Existe-t-il des attaques actives ?
Broadcom indique dans son rapport qu’il n’y a pas de preuve que ces vulnérabilités soient exploitées activement.
Les vulnérabilités ont été communiquées dans un cadre de
Les deux vulnérabilités critiques de vCenter ont été rapportées par
La faille du driver
Cela signifie que la recherche a déjà prouvé l’exploitation de cette faille dans un environnement contrôlé, avant la publication des correctifs par Broadcom.
Cependant, comme c’est souvent le cas avec des vulnérabilités critiques largement déployées, des preuves de concept publiques pourraient apparaître suite à la diffusion des correctifs.
Pourquoi ces vulnérabilités sont particulièrement sensibles
Dans de nombreuses organisations,
Il gère notamment :
- les hôtes ESXi ;
- les machines virtuelles ;
- les réseaux virtuels ;
- le stockage ;
- les permissions ;
- les clusters HA ;
- vMotion ;
- les sauvegardes intégrées.
Compromettre vCenter pourrait donner un contrôle total sur l’environnement virtualisé.
Dans le cas de fournisseurs cloud ou de grands centres de données, l’impact potentiel pourrait s’étendre à des centaines voire des milliers de machines virtuelles.
La vulnérabilité du driver
Bien qu’elle nécessite des privilèges administratifs dans la machine virtuelle, une faille permettant d’échapper de l’hôte vers la machine hôte est toujours considérée comme hautement prioritaire dans le domaine de la virtualisation.
Ce que doivent faire les administrateurs dès maintenant
Étant donné l’absence de solutions temporaires, la priorité est de mettre à jour rapidement les composants vulnérables.
Avant de déployer les correctifs, il est conseillé :
- d’identifier toutes les versions de
- de vérifier l’existence de serveurs d’administration secondaires ;
- de planifier les fenêtres de maintenance ;
- de s’assurer des sauvegardes de vCenter ;
- d’actualiser en priorité les systèmes de gestion, puis les hôtes si nécessaire ;
- de valider l’état de fonctionnement de HA, DRS, vMotion et des outils de supervision après mise à jour.
Les administrateurs de
Bien que le bulletin inclut des vulnérabilités de gravité faible ou modérée, celles liées à
Questions fréquentes
Quelle vulnérabilité est la plus grave ?
Les deux vulnérabilités de
Y a-t-il une solution temporaire ?
Non. Broadcom indique explicitement qu’
La vulnérabilité d’ESX peut-elle être exploitée à distance ?
Pas directement.
Quels produits sont affectés ?
L’alerte concerne
