VMware a corrigé les failles de sécurité découvertes lors du Pwn2Own 2023 de Vancouver
VMware a mis en ligne des mises à jour de sécurité pour deux de ses produits dans le but de corriger des failles de sécurité découvertes lors de l'événement de hacking Pwn2Own 2023 de Vancouver.
Les deux produits qui ont le droit à une mise à jour VMware Workstation et VMware Fusion, deux produits importants de l'éditeur VMware. Les deux vulnérabilités corrigées font partie d'une chaîne d'exploitation présentée par les chercheurs en sécurité de l'équipe STAR Labs à l'occasion de l'événement Pwn2Own 2023 de Vancouver. Pour rappel, VMware Workstation est un hyperviseur pour Windows et Linux, tandis que VMware Fusion est un hyperviseur pour macOS.
L'événement Pwn2Own 2023 s'est déroulé il y a un mois et les éditeurs disposent de 90 jours pour corriger les failles zero-day présentées lors de cet événement. Une fois ce délai passé, l'équipe de la Trend Micro Zero Day Initiative, à l'origine de cet événement, publiera les détails techniques liés aux vulnérabilités. Pour le coup, on peut voir que VMware est largement dans les temps !
Voici des informations supplémentaires sur les deux vulnérabilités :
- CVE-2023-20869 : une vulnérabilité de type "buffer-overflow" dans la fonctionnalité de partage de périphériques Bluetooth. En exploitant cette faille de sécurité, un attaquant, en local, peut exécuter du code sur l'hôte physique par l'intermédiaire du processus VMX de la machine virtuelle. Il s'agit d'une faille critique.
- CVE-2023-20870 : une vulnérabilité permettant de la divulgation d'informations, elle aussi située dans la fonctionnalité de partage des périphériques Bluetooth de l'hôte avec la VM. En exploitant cette faille, un pirate informatique pourrait lire des informations contenues dans la mémoire RAM de l'hyperviseur à partir d'une machine virtuelle.
Dans le cas où la mise à jour n'est pas applicable dans l'immédiat, le fait de désactiver la prise en charge du Bluetooth dans les machines virtuelles permet de se protéger contre ces vulnérabilités.
En complément, VMware a aussi corrigé la faille de sécurité CVE-2023-20871 dans VMware Fusion, ainsi que la vulnérabilité CVE-2023-20872 dans les deux produits. À chaque fois, ce sont les dernières versions qui sont impactées, à savoir VMware Workstation 17.X et VMware Fusion 13.X. Pour plus de détails, consultez le bulletin officiel de VMware.
