Tres fallas críticas de VMware permiten eludir la autenticación, la ejecución de código y el escape de VM – CYBERDEFENSA.MX
admin Noticias, Trending
Tres fallas críticas de VMware permiten eludir la autenticación, la ejecución de código y el escape de VM – CYBERDEFENSA.MX

Broadcom tiene liberado actualizaciones de seguridad para abordar múltiples fallas de seguridad que afectan a VMware ESX, vCenter, Workstation y Fusion, tres de las cuales han sido designadas como críticas en cuanto a su gravedad.

El primero de los tres defectos calificados como críticos es CVE-2026-59309 (Puntuación CVSS: 9,8), que se ha descrito como una omisión de autenticación en VMware vCenter.

«Un actor malicioso con acceso a la red de vCenter puede aprovechar este problema para eludir la autenticación y obtener acceso no autorizado al sistema», dijo Broadcom.

El segundo defecto crítico es una vulnerabilidad de cruce de directorios en vCenter (CVE-2026-59310puntuación CVSS: 9,8) que un actor malintencionado con acceso a la red puede aprovechar para ejecutar código arbitrario. Ambas vulnerabilidades se han solucionado en las siguientes versiones:

  • VMware Cloud Foundation, VMware vSphere Foundation versiones 9.1.xx (corregido en 9.1.0.0300)
  • VMware Cloud Foundation, VMware vSphere Foundation versiones 9.0.xx (corregido en 9.0.2.0100)
  • VMware vCenter versión 8.0 (Corregido en 8.0 U3k)
  • VMware Cloud Foundation versiones 5.x (parche asíncrono a 8.0 U3k)
Ciberseguridad

Broadcom también corrigió otras tres fallas:

  • CVE-2026-47876 (Puntuación CVSS: 9,3): una vulnerabilidad de escritura fuera de límites en el adaptador de red virtual VMXNET3 de VMware ESX que un actor malintencionado con privilegios administrativos locales en una máquina virtual puede aprovechar para ejecutar código en el host. (Corregido en las versiones ESXi-9.1.0.0200-25557999 y ESXi-9.0.2.0100-25595025 de VMware Cloud Foundation y VMware vSphere Foundation, y VMware ESX ESXi80U3k-25595708)
  • CVE-2026-41703 (Puntuación CVSS: 7,6): una vulnerabilidad de lectura fuera de límites en VMware ESX que un actor malintencionado con privilegios de implementación de VM podría desencadenar, lo que podría provocar la divulgación de información o una condición de denegación de servicio (DoS). En VMware Workstation y Fusion, el impacto se limita a la divulgación de información. (Corregido en las versiones de VMware Cloud Foundation y VMware vSphere Foundation ESXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025, VMware ESX ESXi80U3i-25205845, VMware Workstation 26H1, VMware Fusion 26H1 y VMware Cloud Foundation 5.2.3)
  • CVE-2026-41709 (Puntuación CVSS: 2,7): una vulnerabilidad de registro insuficiente en VMware ESX que un administrador malintencionado puede aprovechar para realizar determinadas operaciones sin que se registren. (Corregido en las versiones ESXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025 de VMware Cloud Foundation y VMware vSphere Foundation, y VMware ESX ESXi80U3j-25429389)

Broadcom señaló que no ha encontrado evidencia que sugiera que alguno de estos problemas haya sido explotado en la naturaleza. El gigante tecnológico también caracterizó a CVE-2026-47876 como un escape de máquina virtual.

«Un atacante que ya posee privilegios administrativos locales dentro de una máquina virtual que utiliza el adaptador de red virtual VMXNET3 puede ejecutar código en el host ESX», indica. dicho.

La policía desmantela el kit de phishing Kratos creado para robar sesiones de Microsoft 365 y eludir MFA – CYBERDEFENSA.MX
admin Noticias, Trending
La policía desmantela el kit de phishing Kratos creado para robar sesiones de Microsoft 365 y eludir MFA – CYBERDEFENSA.MX

Las fuerzas del orden alemanas y estadounidenses han derribado la infraestructura central de Kratosdescrito por investigadores alemanes como uno de los kits de phishing criminal más utilizados en el mundo, y las autoridades indonesias arrestaron al hombre que, según dicen, lo desarrolló y ejecutó.

en un porro anuncio El lunes, la unidad de delitos cibernéticos (ZIT) del fiscal público de Frankfurt y la Oficina Federal de Policía Criminal (BKA) de Alemania dijeron que habían desconectado más de 200 servidores. Los investigadores estiman que aproximadamente 1.800 clientes de pago utilizaron Kratos para ejecutar unas 15.000 campañas de phishing al mes.

Kratos recopiló más que contraseñas. El kit fue diseñado para robar la cookie de sesión junto con el inicio de sesión, y esa cookie es suficiente para pasar la autenticación de dos factores en la cuenta como usuario, dijo la BKA.

ANY.RUN, que ingeniería inversa del kitlos operadores encontrados podían elegir uno de dos modos: una página PHP simple que solo recopila credenciales, o un proxy inverso de Node.js diseñado para transmitir el inicio de sesión a Microsoft en tiempo real y capturar la sesión resultante. Esa segunda modalidad es la técnica del adversario en el medio que ha convertido al MFA ordinario en un respaldo mucho más débil de lo que parece.

Ciberseguridad

La operación se desarrolló como una franquicia, con los clientes que la BKA llamaba franquiciados. Pagaron en criptomonedas y se registraron a través de un sitio web exclusivo y una tienda de Telegram para administrar sus cuentas y organizar campañas, de modo que incluso los actores poco calificados pudieran apuntar un kit AiTM funcional a un objetivo.

Las autoridades cifran el número de víctimas desde finales de 2024 en cientos de miles, repartidas en más de 30 países y concentradas en Europa y Estados Unidos. Calculan que los operadores ganaron más de 300.000 euros desde 2024 y que cada campaña podría llegar a varios miles de destinatarios.

Kratos ya estaba siendo rastreado. Inteligencia de amenazas de Microsoft identifica el mismo kit que Registro furtivouna plataforma de phishing como servicio que, según dice, ha realizado robo de credenciales y 2FA contra Microsoft 365 desde al menos principios de 2025, y detectó una campaña en el acto.

El 10 de febrero, los operadores enviaron correos electrónicos con temas fiscales a alrededor de 100 organizaciones, principalmente en los EE. UU., en los sectores de fabricación, venta minorista y atención médica, cada uno con un documento W-2 con un código QR personalizado para el destinatario que condujo a un inicio de sesión falso en Microsoft 365.

Los inicios de sesión robados de Microsoft rara vez son el final del camino. La BKA dijo que las credenciales robadas podrían usarse para más phishing, venderse a otros delincuentes o convertirse en un punto de apoyo dentro de las empresas al difundirse a través de sus entornos Microsoft 365, el camino familiar desde una bandeja de entrada suplantada hasta el compromiso del correo electrónico empresarial.

Carsten Meywirth, jefe de la división de cibercrimen de la BKA, afirmó que la operación demuestra «que incluso las infraestructuras de phishing altamente profesionales pueden combatirse eficazmente». Benjamin Krause, del ZIT, lo planteó como prueba del enfoque «perturbador» de la oficina de desmantelar un servicio criminal directamente en lugar de sólo acusar a las personas detrás de él.

Ciberseguridad

Microsoft está notificando a los usuarios atrapados en las campañas. Para cualquier persona a la que Microsoft notifique, la solución depende de cómo se vio afectada. Cuando el kit solo recopiló credenciales, un restablecimiento de contraseña y una verificación de MFA lo cubren. Cuando su modo de proxy inverso levantó una sesión en vivo, esa sesión sobrevive al reinicio, por lo que debe ser revocada, y las cuentas de alto valor se trasladan a un inicio de sesión resistente al phishing.

Los defensores que buscan exposición pueden buscar la indicación del kit: ANY.RUN encontró que sus páginas de inicio de sesión casi siempre cargan los activos emparejados barr.svg y lg.svg, luego PUBLICAN las credenciales robadas en puntos finales como next.php o save.php. Califica ese emparejamiento con un 90% de recuperación con casi cero falsos positivos.

Por ahora, los servidores están fuera de línea y, según la BKA, las campañas impulsadas por Kratos no pueden continuar. Lo que la eliminación no afectó son los aproximadamente 1.800 clientes ni el código del kit que ya poseen. ANY.RUN encontró que Kratos se ejecuta en dominios desechables, sitios de WordPress comprometidos y alojamiento compartido con otros kits de adversarios intermedios, el tipo de configuración que reaparece con un nuevo nombre una vez que los servidores caen.

Docker CVE-2026-34040 permite a los atacantes eludir la autorización y obtener acceso al host – CYBERDEFENSA.MX
admin Noticias, Trending
Docker CVE-2026-34040 permite a los atacantes eludir la autorización y obtener acceso al host – CYBERDEFENSA.MX

Se ha revelado una vulnerabilidad de seguridad de alta gravedad en Docker Engine que podría permitir a un atacante eludir los complementos de autorización (AuthZ) en circunstancias específicas.

La vulnerabilidad, rastreada como CVE-2026-34040 (Puntuación CVSS: 8,8), surge de una solución incompleta para CVE-2024-41110, una vulnerabilidad de gravedad máxima en el mismo componente que salió a la luz en julio de 2024.

«Utilizando una solicitud API especialmente diseñada, un atacante podría hacer que el demonio Docker reenvíe la solicitud a un complemento de autorización sin el cuerpo», mantenedores de Docker Engine. dicho en un aviso publicado a finales del mes pasado. «El complemento de autorización puede permitir una solicitud que de otro modo habría rechazado si se le hubiera enviado el cuerpo».

«Cualquiera que dependa de complementos de autorización que introspeccionen el cuerpo de la solicitud para tomar decisiones de control de acceso se verá potencialmente afectado».

A múltiples vulnerabilidades de seguridad, incluidas Asim Viladi Oglu Manizada, Cody, Oleh Konko y Vladimir Tokarev, se les atribuye el mérito de descubrir e informar el error de forma independiente. El problema se solucionó en la versión 29.3.1 de Docker Engine.

Ciberseguridad

Según un informe publicado por el investigador Tokarev de Cyera Research Labs, la vulnerabilidad se debe al hecho de que la solución para CVE-2024-41110 no manejó adecuadamente los cuerpos de solicitud HTTP de gran tamaño, abriendo así la puerta a un escenario en el que se puede utilizar una única solicitud HTTP rellenada para crear un contenedor privilegiado con acceso al sistema de archivos host.

En un escenario de ataque hipotético, un atacante que tiene el acceso a la API de Docker restringido por un complemento AuthZ puede socavar el mecanismo al rellenar una solicitud de creación de contenedor a más de 1 MB, lo que provoca que se elimine antes de llegar al complemento.

«El complemento permite la solicitud porque no ve nada que bloquear», Tokarev dicho en un informe compartido con The Hacker News. «El demonio Docker procesa la solicitud completa y crea un contenedor privilegiado con acceso raíz al host: sus credenciales de AWS, claves SSH, configuraciones de Kubernetes y todo lo demás en la máquina. Esto funciona con todos los complementos de AuthZ en el ecosistema».

Es más, un agente codificador de inteligencia artificial (IA) como OpenClaw ejecutándose dentro de una zona de pruebas basada en Docker se puede engañar para que ejecute una inyección rápida oculta dentro de un repositorio GitHub específicamente diseñado como parte de un flujo de trabajo normal del desarrollador, lo que resulta en la ejecución de código malicioso que explota CVE-2026-34040 para eludir la autorización utilizando el enfoque anterior y crear un contenedor privilegiado y montar el sistema de archivos host.

Con este nivel de acceso, el atacante puede extraer credenciales para servicios en la nube y abusar de ellas para tomar el control de cuentas en la nube, clústeres de Kubernetes e incluso SSH en servidores de producción.

No termina ahí. Cyera también advirtió que los agentes de IA pueden descubrir el bypass por su cuenta y activarlo mediante la construcción de una solicitud HTTP rellenada al encontrar errores al intentar acceder a archivos como kubeconfig como parte de una tarea de depuración legítima emitida por un desarrollador (por ejemplo, depurar el problema de falta de memoria del K8). Este enfoque elimina la necesidad de instalar un repositorio envenenado que contenga instrucciones maliciosas.

Ciberseguridad

«El complemento AuthZ negó la solicitud de montaje», explicó Cyera. «El agente tiene acceso a la API de Docker y sabe cómo funciona HTTP. CVE-2026-34040 no requiere ningún código de explotación, privilegios o herramientas especiales. Es una única solicitud HTTP con relleno adicional. Cualquier agente que pueda leer la documentación de la API de Docker puede construirla».

Como solución temporal, se recomienda evitar el uso de complementos de AuthZ que dependen de la inspección del cuerpo de solicitud para tomar decisiones de seguridad, limitar el acceso a la API de Docker a partes confiables siguiendo el principio de privilegio mínimo o ejecutar Docker en modo desarraigado.

«En el modo sin raíz, incluso la ‘raíz’ de un contenedor privilegiado se asigna a un UID de host sin privilegios», dijo Tokarev. «El radio de explosión cae de ‘compromiso total del host’ a ‘usuario comprometido sin privilegios’. Para entornos que no pueden desraizarse por completo, –userns-remap proporciona un mapeo de UID similar».