VMware a d\u00e9clar\u00e9 lundi n’avoir trouv\u00e9 aucune preuve que les acteurs de la menace exploitent une faille de s\u00e9curit\u00e9 inconnue, c’est-\u00e0-dire un jour z\u00e9ro, dans son logiciel dans le cadre d’une vague d’attaques de ransomwares en cours dans le monde entier.<\/p>\n
“La plupart des rapports indiquent que la fin du support g\u00e9n\u00e9ral (EoGS) et\/ou des produits consid\u00e9rablement obsol\u00e8tes sont cibl\u00e9s par des vuln\u00e9rabilit\u00e9s connues qui ont \u00e9t\u00e9 pr\u00e9c\u00e9demment trait\u00e9es et divulgu\u00e9es dans les avis de s\u00e9curit\u00e9 VMware (VMSA)”, a d\u00e9clar\u00e9 le fournisseur de services de virtualisation. a dit<\/a>.<\/p>\n La soci\u00e9t\u00e9 recommande en outre aux utilisateurs de mettre \u00e0 niveau vers les derni\u00e8res versions prises en charge disponibles des composants vSphere pour att\u00e9nuer les probl\u00e8mes connus et d\u00e9sactiver le service OpenSLP<\/a> dans ESXi.<\/p>\n “En 2021, ESXi 7.0 U2c et ESXi 8.0 GA ont commenc\u00e9 \u00e0 \u00eatre livr\u00e9s avec le service d\u00e9sactiv\u00e9 par d\u00e9faut”, a ajout\u00e9 VMware.<\/p>\n L’annonce intervient alors que les serveurs VMware ESXi non corrig\u00e9s et non s\u00e9curis\u00e9s du monde entier ont \u00e9t\u00e9 cibl\u00e9s dans un grande \u00e9chelle<\/a> campagne de ran\u00e7ongiciels<\/a> surnomm\u00e9 ESXiArgs en exploitant probablement un bogue VMware de deux ans corrig\u00e9 en f\u00e9vrier 2021.<\/p>\n La vuln\u00e9rabilit\u00e9, identifi\u00e9e comme CVE-2021-21974 (score CVSS\u00a0: 8,8), est une vuln\u00e9rabilit\u00e9 de d\u00e9bordement de m\u00e9moire tampon OpenSLP qu’un acteur malveillant non authentifi\u00e9 peut exploiter pour obtenir l’ex\u00e9cution de code \u00e0 distance.<\/p>\n Les intrusions semblent cibler les serveurs ESXi sensibles qui sont expos\u00e9s \u00e0 Internet sur le port OpenSLP 427, les victimes ayant pour instruction de payez 2,01 bitcoins<\/a> (environ 45 990 $ au moment de la r\u00e9daction) pour recevoir la cl\u00e9 de cryptage n\u00e9cessaire pour r\u00e9cup\u00e9rer les fichiers. Aucune exfiltration de donn\u00e9es n’a \u00e9t\u00e9 constat\u00e9e \u00e0 ce jour.<\/p>\n Les donn\u00e9es de GreyNoise montrent que 19 adresses IP uniques<\/a> tentent d’exploiter la vuln\u00e9rabilit\u00e9 ESXi depuis le 4 f\u00e9vrier 2023. 18 des 19 adresses IP sont class\u00e9es comme b\u00e9nignes, avec une seule exploitation malveillante enregistr\u00e9<\/a> des Pays-Bas.<\/p>\n “Les clients ESXi doivent s’assurer que leurs donn\u00e9es sont sauvegard\u00e9es et doivent mettre \u00e0 jour leurs installations ESXi vers une version fixe en cas d’urgence, sans attendre qu’un cycle de correctifs r\u00e9gulier se produise”, a d\u00e9clar\u00e9 Caitlin Condon, chercheuse chez Rapid7. a dit<\/a>. “Les instances ESXi ne doivent pas \u00eatre expos\u00e9es \u00e0 Internet dans la mesure du possible.”<\/p>\n <\/p>\n