Faille critique de VMware : le commentaire de Tenable
mai 2022 par Satnam Narang, Staff research engineer chez Tenable
Le 18 mai, VMware a publié un avertissement (VMSA-2022-0014) concernant deux vulnérabilités dans plusieurs de ses produits. Cela fait suite à un avertissement similaire (datant d’avril - MSA-2022-0011), dans lequel VMware a corrigé plusieurs vulnérabilités dans le même ensemble de produits. L’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a prévenu qu’elle s’attendait à ce que les acteurs de la menace « développent rapidement une capacité à exploiter ces vulnérabilités nouvellement publiées. » Voici le commentaire de Satnam Narang, Staff Research Engineer chez Tenable, au sujet de ces vulnérabilités :
« Les vulnérabilités corrigées dans le cadre de l’avertissement VMSA-2022-0014 de VMware ainsi que la directive d’urgence et l’alerte associée publiées par la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis constituent un rappel important de l’importance de corriger les vulnérabilités le plus tôt possible.
Le mois dernier, VMware a publié un avertissement concernant un certain nombre de failles dans le même ensemble de produits et, en quelques jours, des attaquants avaient déjà commencé à rechercher et à exploiter deux de ces failles sur des systèmes accessibles au public.
La publication de la directive d’urgence donne un caractère d’urgence supplémentaire aux agences fédérales civiles de l’exécutif aux États-Unis, mais elle devrait également être considérée par d’autres agences et organisations dans le monde entier comme une priorité urgente pour la correction de ces failles.
L’une des deux failles corrigées aujourd’hui, CVE-2022-22972, est une vulnérabilité de contournement d’authentification, qui pourrait être facilement exploitée par un attaquant pour accéder à ces systèmes sans y avoir accès au préalable. L’enchaînement de cette faille avec CVE-2022-22973 permettrait à un attaquant d’élever ses privilèges pour obtenir un accès root sur ces systèmes. L’enchaînement de vulnérabilités n’est pas un phénomène nouveau, mais tout comme dans les jeux de combat compétitifs tels que Street Fighter et Mortal Kombat, l’enchaînement de vulnérabilités comme des mouvements augmente l’impact d’une attaque. »