Активно експлоатирана уязвимост във VMware vCenter е добавена в KEV каталога на CISA

Американските органи по киберсигурност повишиха нивото на риск за критична уязвимост във VMware vCenter Server, след като беше потвърдена активна експлоатация в реални среди.

Уязвимостта, обозначена като CVE-2024-37079, засяга Broadcom VMware vCenter Server и позволява отдалечено изпълнение на код при определени условия. Въпреки че корекция е налична от средата на 2024 г., новата информация показва, че уязвимостта вече се използва активно.

Какво се промени

CVE-2024-37079 беше включена в каталога Known Exploited Vulnerabilities (KEV) на CISA. Това означава, че рискът вече не е теоретичен и че неприложените обновления представляват реална заплаха.

KEV каталогът се използва като ориентир за приоритизиране на корекциите както от федералните институции в САЩ, така и от множество организации по света.

Технически контекст

Проблемът произтича от некоректна обработка на паметта в DCE/RPC услугата на vCenter Server. Злонамерено изготвен мрежов пакет може да предизвика heap overflow и да позволи изпълнение на произволен код от страна на атакуващия.

Изследванията показват, че тази уязвимост е част от по-широк набор проблеми в същия компонент. В някои сценарии подобни уязвимости могат да бъдат комбинирани с ескалация на привилегии и да доведат до пълен контрол върху виртуалната инфраструктура.

Защо vCenter е критична цел

vCenter Server управлява ключови елементи на виртуалната среда, включително:

• ESXi хостове

• виртуални машини

• системи за бекъп и възстановяване

• административни акаунти и автоматизация

Компрометирането му дава на атакуващите широк достъп и висока степен на контрол.

Статус на експлоатацията

Макар че няма публична информация за конкретните атакуващи или мащаба на атаките, Broadcom потвърждава наличие на експлоатация „на терен“. Това променя приоритета от препоръчителен към спешен.

За федералните агенции в САЩ актуализацията е задължителна в определен срок. За всички останали организации включването в KEV каталога е ясен сигнал за незабавни действия.

Гледната точка на DIAMATIX

От гледна точка на DIAMATIX този случай потвърждава добре познат модел. Уязвимости в управленски и виртуализационни слоеве често остават експонирани дълго след наличието на корекция.

Включването в KEV показва, че рискът трябва да се оценява не по датата на излизане на пача, а по степента на експлоатация и критичността на засегнатия актив. Инфраструктурните системи изискват ускорени процеси за актуализация, непрекъснат мониторинг и строг контрол на достъпа.

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant

Източници

• CISA. Каталог Known Exploited Vulnerabilities (KEV)

• Broadcom VMware. Advisory за CVE-2024-37079

• Black Hat Asia 2025. Анализ на DCE/RPC уязвимости във VMware

• Публични записи за уязвимости и независими изследвания