Várias falhas de segurança foram divulgadas nos produtos VMware Workstation e Fusion que podem ser exploradas por atores mal-intencionados para acessar informações sensíveis, desencadear uma condição de negação de serviço (DoS) e executar código em certas circunstâncias. As quatro vulnerabilidades afetam as versões 17.x do Workstation e 13.x do Fusion, com correções disponíveis nas versões 17.5.2 e 13.5.2, respectivamente, disse o provedor de serviços de virtualização de propriedade da Broadcom. Um resumo breve de cada uma das falhas está abaixo:

– CVE-2024-22267 (pontuação CVSS: 9.3) – Uma vulnerabilidade de uso após liberação no dispositivo Bluetooth que poderia ser explorada por um ator mal-intencionado com privilégios administrativos locais em uma máquina virtual para executar código como o processo VMX da máquina virtual em execução no host.

– CVE-2024-22268 (pontuação CVSS: 7.1) – Uma vulnerabilidade de estouro de buffer de heap na funcionalidade Shader que poderia ser explorada por um ator mal-intencionado com acesso não administrativo a uma máquina virtual com gráficos 3D habilitados para criar uma condição de DoS.

– CVE-2024-22269 (pontuação CVSS: 7.1) – Uma vulnerabilidade de divulgação de informações no dispositivo Bluetooth que poderia ser explorada por um ator mal-intencionado com privilégios administrativos locais em uma máquina virtual para ler informações privilegiadas contidas na memória do hipervisor de uma máquina virtual.

– CVE-2024-22270 (pontuação CVSS: 7.1) – Uma vulnerabilidade de divulgação de informações na funcionalidade de Compartilhamento de Arquivos do Hóspede Convidado (HGFS) que poderia ser explorada por um ator mal-intencionado com privilégios administrativos locais em uma máquina virtual para ler informações privilegiadas contidas na memória do hipervisor de uma máquina virtual. Como soluções temporárias até que os patches possam ser implantados, os usuários são aconselhados a desativar o suporte ao Bluetooth na máquina virtual e desativar a funcionalidade de aceleração 3D. Não há mitigação para a CVE-2024-22270 além da atualização para a última versão. É importante observar que o CVE-2024-22267, CVE-2024-22269 e CVE-2024-22270 foram originalmente demonstrados pela STAR Labs SG e Theori no concurso de hacking Pwn2Own realizado em Vancouver em março deste ano. O aviso vem mais de dois meses após a empresa lançar patches para resolver quatro falhas de segurança impactando o ESXi, Workstation e Fusion, incluindo duas falhas críticas (CVE-2024-22252 e CVE-2024-22253, pontuações CVSS: 9.3/8.4) que poderiam levar à execução de código.