Código HTML do Conteúdo
Post: POC Lançado para VMware Workstation - Against Invaders - Notícias de CyberSecurity para humanos.
<div>
<div>
<p>O NCC Group detalhou uma fuga de hóspedes a hospedeiro da VMware, alcançada de uma VM comprometida por meio de uma falha lógica no manuseio de dispositivos virtuais que permite a corrupção da memória e a execução de código controlada no processo do host.</p>
<p>A redação mostra um caminho prático de exploração do Usuário Guest de Compromisso de Hospedar, validando o risco do mundo real.</p>
<p>O ataque requer execução dentro de uma VM convidada, mas nenhum privilégio especial de convidado além da capacidade de enviar entradas criadas para a interface VMware Backdoor/RPC, como <a href="https://www.nccgroup.com/media/b2chcbti/vmware-workstation-guest-to-host-escape.pdf" rel="noreferrer noopener nofollow" target="_blank">relatado</a> pelo grupo NCC.</p>
<h2 id="h-affected-and-impact"><strong>Afetado e impacto</strong></h2>
<p>A fuga permite quebrar o isolamento da VM, executar o código arbitrário no contexto do host do processo de hipervisor da estação de trabalho e girar no sistema de arquivos host e VMs adjacentes.</p>
<p>Nos terminais de desenvolvedor de vários VM ou ambientes de laboratório sensíveis, isso permite <a href="https://gbhackers.com/fbi-releases-iocs/" rel="noreferrer noopener" target="_blank">roubo de dados</a> e movimento lateral.</p>
<p><strong>Tabela cve</strong></p>
<figure>
<table>
<thead>
<tr>
<td><strong>Campo</strong></td>
<td><strong>Detalhes</strong></td>
</tr>
</thead>
<tbody>
<tr>
<td>Cve</td>
<td>Escape de convidado para hospedeiro na estação de trabalho VMware</td>
</tr>
<tr>
<td>Produtos afetados</td>
<td>VMware Workstation (versões vulneráveis ​​específicas por relatório do grupo NCC)</td>
</tr>
<tr>
<td>Componente</td>
<td>VMware Backdoor/RPC Virtual Disposition Maniplel Path</td>
</tr>
<tr>
<td>CVE IDS</td>
<td>CVE2023-20870/CVE-2023-34044 e CVE-2023-20869</td>
</tr>
</tbody>
</table>
</figure>
<h2 id="h-poc-code"><strong>Código POC</strong></h2>
<p>Abaixo está um esboço consistente com a descrição de prova de conceito do grupo NCC para defesa educacional e validação em um laboratório controlado. Use apenas para testar o status e as detecções remendadas.</p>
<ul>
<li>Estabeleça uma sessão VMware Backdoor/RPC da Guest Userland.</li>
<li>Envie dois ou mais pacotes RPC com o mesmo SessionID, manipulando o tamanho binário e o deslocamento/tamanho da carga útil para acionar uma escrita fora dos limites na rotina de manuseio do buffer de host.</li>
<li>Alcançar um substituto de adjacente<a href="https://gbhackers.com/new-malware-abuses-azure-functions/" rel="noreferrer noopener" target="_blank"> Memória do host </a>Para redirecionar o fluxo de controle para dados controlados por atacantes.</li>
<li>Terreva uma carga útil mínima do shell do lado do hospedeiro executado no contexto do processo de estação de trabalho.</li>
</ul>
<p>Esboço de pseudocódigo de alto nível:</p>
<pre><code>// guest-side pseudocode outline
open_vmware_backdoor();
uint32_t sid = rpc_begin_session();
// Packet A: prime host buffer
rpc_send(sid, .bin_size = A_SIZE, .payload_off = OFF_A, .payload_size = SZ_A, .data = bufA);
// Packet B: overlapping write to force OOB and corrupt adjacent metadata/code ptr
rpc_send(sid, .bin_size = B_SIZE, .payload_off = OFF_B, .payload_size = SZ_B, .data = crafted_overlap);
// Optional: Packet C to finalize control-flow hijack
rpc_send(sid, .bin_size = C_SIZE, .payload_off = OFF_C, .payload_size = SZ_C, .data = rop_or_shellcode);
// Trigger vulnerable processing path
rpc_commit(sid);</code></pre>
<p>Detalhe da exploração-chave: a reutilização do mesmo SessionID com tamanho/deslocamento de deslocamento criado causa um erro de cálculo de limite de buffer que executa uma escrita fora dos limites no analisador do host, permitindo redirecionamento confiável para o código controlado por atacantes.</p>
<p><strong>Mitigação</strong></p>
<ul>
<li>Aplique atualizações de segurança do VMware que remediam o caminho de manuseio de dispositivo virtual/RPC vulnerável.</li>
<li>Restringir cargas de trabalho não confiáveis ​​na estação de trabalho local; VMs de teste de alto risco separadas dos dados sensíveis do host.</li>
<li>Monitore os processos VMware para criação anormal de processos infantis e acesso a arquivos originários do processo de host da estação de trabalho.</li>
<li>Aplicar o EDR do host e o controle de aplicativos para restringir o comportamento do processo de hipervisor após a exploração.</li>
</ul>
<p><strong>Siga -nos<a href="https://news.google.com/publications/CAAqKAgKIiJDQklTRXdnTWFnOEtEV2RpYUdGamEyVnljeTVqYjIwb0FBUAE?hl=en-IN&gl=IN&ceid=IN%3Aen" rel="noreferrer noopener nofollow" target="_blank">Google News</a>Assim,<a href="https://www.linkedin.com/company/cyber-threat-intel/" rel="noreferrer noopener nofollow" target="_blank">LinkedIn</a>e<a href="https://x.com/The_Cyber_News" rel="noreferrer noopener nofollow" target="_blank">X</a>Para obter atualizações instantâneas e definir GBH como uma fonte preferida em <a href="https://www.google.com/preferences/source?q=https://gbhackers.com/" rel="noreferrer noopener nofollow" target="_blank">Google</a>.</strong></p>
</div></div>