Ciberseguridad

Esta vulnerabilidad ha sido publicada desde Broadcom el pasado 29 de septiembre. Ha sido registrada como CVE-2025-41244. Afecta a las funciones de detección de servicios de máquina virtual de VMware. Por parte de NVISO, han informado de su explotación en entornos reales desde mediados de octubre de 2024. Además, han determinado que detrás de esta escalada de privilegios está el grupo UNC5174.

Vulnerabilidad en VMware

Hay que mencionar que esta vulnerabilidad afecta tanto a VMware Tools como a VMware Aria Operations. En ambos casos permite a un usuario sin privilegios poder ejecutar código con privilegios elevados. UNC5174, es un grupo de ciberdelincuentes patrocinado por el gobierno chino. Ha sido vinculado repetidamente a operaciones de acceso inicial mediante la explotación de vulnerabilidades conocidas.

Respecto a VMware Aria, es una Suite que se utiliza para gestionar cargas de trabajo de nube híbrida desde una única consola y es algo muy usado por organizaciones. Como parte de su investigación, NVISO pudo confirmar que la vulnerabilidad de escalada de privilegios afecta a VMware Aria Operations (en modo de autenticación) y a VMware Tools (en modo sin autenticación).

Un atacante podría explotar esta vulnerabilidad, sin necesidad de tener privilegios previos, a nivel local. Lo puede hacer al alojar un archivo binario malicioso en cualquier ruta que coincide con la expresión regular genérica. Por ejemplo, es habitual la ruta /tmp/httpd, la cual utiliza el grupo UNC5174. Para que el sistema de detección de servicios de VMware detecte el archivo binario malicioso, este debe ejecutarse con los permisos de un usuario sin privilegios y abrir al menos un socket de escucha.

En el comunicado de NVISO, han mostrado una prueba de concepto CVE-2025-41244.go. Demostraron que, una vez compilado en una ruta compatible (por ejemplo, go build -o /tmp/httpd CVE-2025-41244.go) y ejecutado, este ejemplo de prueba de concepto iniciará una sesión de shell con privilegios de administrador en cuanto se ejecute la recopilación de métricas de VMware. Este proceso, al menos en modo sin credenciales, se ha documentado históricamente para que se ejecute cada 5 minutos.

Actualización urgente

Esta vulnerabilidad ha recibido una puntuación de 7.8 sobre 10 en la escala CVSS, por lo que es calificada como de gravedad alta. Para corregir este problema, es importante que apliques lo antes posible las actualizaciones correspondientes. Esto te ayudará a evitar ataques de este tipo, pero también a mantener un funcionamiento óptimo. En el caso de VMware Aria Operations, necesitas tener la versión 8.18.5, que es la que corrige el problema. En cuanto a VMware Tools, necesitas la versión 13.0.5. Puedes acceder a toda la información y descargas desde las notas de lanzamiento oficiales para VMware Aria Operations 8.18.5 (VMSA-2025-0025) y para VMware Tools 13.0.5.

Deberías aplicar esto a cualquier sistema o programa que uses en tu día a día. Es importante siempre corregir las vulnerabilidades que pueda haber y reducir así el riesgo de tener problemas que afecten a tu privacidad o seguridad. Ya vimos hace unos meses otra vulnerabilidad que afectaba a VMware para Windows. Por supuesto, también deberías mantener siempre actualizado tu sistema operativo para no ser vulnerables a fallos de seguridad que han descubierto, en el caso de Windows, lanzan actualizaciones de forma mensual a modo de paquete de actualizaciones acumulativo, es muy importante instalar estas actualizaciones cuanto antes, eso sí, no os aconsejamos activar la funcionalidad de «Obtén las últimas actualizaciones cuando estén disponibles«, ya que podríamos tener problemas con bugs que hayan incorporado sin querer en el sistema operativo.