critical vulnerability discovered in VMware ESXi

Une Vulnerabilite Critique dans ESXI

Salut les techos, on parles aujourd'hui de la vulnerabilite decouvert dans ESXI  "CVE-2024-37085 "

VMware ESXi contient une vulnérabilité de contournement d'authentification. Un acteur malveillant disposant d'autorisations Active Directory (AD) suffisantes peut obtenir un accès complet à un hôte ESXi précédemment configuré pour utiliser AD pour la gestion des utilisateurs https://blogs.vmware.com/vsphere/2012/09/joining-vsphere-hosts -to-active-directory.html en recréant le groupe AD configuré (« Administrateurs ESXi » par défaut) après sa suppression d'AD.

Qu'est-ce que CVE-2024-37085 ?

CVE-2024-37085 est une vulnérabilité critique découverte dans VMware ESXi, Cette faille exploitait un défaut de gestion des privilèges au sein du groupe Active Directory "ESX Admins". En substance, tout utilisateur faisant partie de ce groupe pouvait obtenir des privilèges administratifs complets sur les serveurs ESXi associés à ce domaine Active Directory, sans vérification supplémentaire.

il est important de connaitre que le groupe ESX Admins est un élément central dans la gestion des serveurs VMware ESXi lorsqu'ils sont intégrés à un domaine Active Directory.

• Rôle privilégié : Les membres de ce groupe disposent de droits administratifs complets sur les serveurs ESXi associés au domaine. Cela signifie qu'ils peuvent effectuer toutes les opérations possibles, de la configuration du système à la gestion des machines virtuelles.
• Configuration par défaut : Ce groupe est créé par défaut lors de la configuration de l'intégration Active Directory sur un serveur ESXi.
• Vulnérabilité CVE-2024-37085 : Récemment, une vulnérabilité (CVE-2024-37085) a été découverte, exploitant une faille dans la gestion de ce groupe. Des attaquants pouvaient, sous certaines conditions, usurper l'identité d'un membre de ce groupe pour obtenir des privilèges élevés sur les serveurs ESXi.

ESX Admins est un groupe puissant mais qui nécessite une gestion rigoureuse pour garantir la sécurité d' infrastructure VMware. Il est crucial de limiter strictement l'accès à ce groupe et de suivre les recommandations de sécurité de VMware, notamment en appliquant les correctifs de sécurité dès leur publication.

Pourquoi cette vulnérabilité est-elle si grave ?

• Privilèges élevés : L'obtention de privilèges administratifs permet à un attaquant d'exécuter du code arbitraire, de modifier des configurations, de chiffrer des données ou même de prendre le contrôle complet du système.
• Exploitation active : Cette vulnérabilité a été activement exploitée par des acteurs de menaces, notamment des groupes de ransomware, pour chiffrer les données des victimes et exiger une rançon.
• Impact sur les entreprises : Les entreprises utilisant VMware ESXi et Active Directory se sont retrouvées particulièrement exposées, avec des conséquences potentiellement désastreuses sur leurs opérations.

Quelles sont les mesures prises pour y remédier ?

• Correctif officiel : VMware a rapidement publié un correctif pour résoudre cette vulnérabilité. Il est fortement recommandé de mettre à jour vos systèmes ESXi dès que possible.
• Mesures de sécurité supplémentaires : Outre le correctif, il est important de mettre en œuvre des mesures de sécurité complémentaires, telles que :
• Révision des droits d'accès : Limiter les membres du groupe "ESX Admins" au strict minimum nécessaire.
• Segmentation du réseau : Isoler les environnements ESXi du reste du réseau.
• Surveillance accrue : Mettre en place une surveillance renforcée des systèmes ESXi pour détecter toute activité suspecte.