VMware ESXi reconnaît automatiquement chaque utilisateur d’un groupe Active Directory lié nommé ESX Admins comme étant un administrateur, même si un pirate crée lui-même ce groupe.
Des chercheurs de Microsoft ont découvert une vulnérabilité importante et activement exploitée dans l’hyperviseur VMware ESXi. Elle permet aux attaquants d’usurper l’identité d’un admin et de transformer d’autres utilisateurs en admin. L’attaque fait partie d’une chaîne où les pirates ont déjà accès à un environnement informatique, et plus particulièrement à Active Directory. Si AD est lié à l’environnement VMware, ils peuvent facilement y accéder avec un maximum de privilèges.
Il suffit de créer un nouveau groupe dans AD nommé ESX Admins. ESXi considérera automatiquement chaque utilisateur de ce groupe comme un administrateur. Les attaquants peuvent créer le groupe à tout moment, une fois qu’il est en place, ESXi accordera des droits d’administrateur.
Droits supérieurs
Les dommages potentiels sont énormes. ESXi est un hyperviseur « bare metal ». Toute personne ayant un accès administrateur peut supprimer ou chiffrer des machines virtuelles à sa guise. Tout système fonctionnant sur l’hyperviseur est vulnérable.
Malgré la gravité de la fuite et la facilité avec laquelle elle peut être exploitée, VMware ne lui attribue qu’une note CVSS de 6,8. Des experts indépendants contestent cette analyse, notamment parce que des pirates exploitent activement le bogue aujourd’hui.
Microsoft invite les administrateurs à prendre des mesures immédiates et à vérifier que le bogue ne peut pas être exploité. Comme toujours, il est important d’installer les bons correctifs. Broadcom ne prévoirait pas de mise à jour pour ESXi 7.