CVE-2020-3950: Escalada de Privilégio em Produtos VMware
A vulnerabilidade CVE-2020-3950 permite escalada de privilégios a root em VMware Fusion, VMRC e Horizon Client para macOS. O vetor é local, com baixa complexidade e sem interação do usuário. O risco é crítico, com alta probabilidade de exploração nos próximos 30 dias (EPSS 7.3%). A CISA KEV confirma exploração ativa e exige correção até 2022-05-03. A prioridade de mitigação é alta para ambientes corporativos globais.
Dados confirmados por NVD, EPSS e inclusão no catálogo CISA KEV com exploração ativa e prazo de remediação definido.
O que aconteceu
Setuid binaries em versões vulneráveis de VMware Fusion, Remote Console e Horizon Client são usados de forma inadequada, permitindo que um usuário local com privilégios baixos eleve seu nível para root. O CVSS 3.1 indica ataque local, complexidade baixa, privilégios baixos e nenhum requisito de interação, resultando em impactos críticos de confidencialidade, integridade e disponibilidade. O EPSS de 7.3% indica alta chance de exploração nos próximos 30 dias.
Por que isso importa
Um atacante que já possui acesso ao host macOS pode obter controle total, comprometer dados sensíveis e instalar persistência. Em ambientes corporativos, isso pode levar à violação de políticas de segurança e interrupção de serviços críticos.
Quem está em risco
Usuários de VMware Fusion ≥ 11.0.0 < 11.5.2, Horizon Client ≥ 5.0.0 < 5.4.0 e Remote Console ≥ 11.0.0 < 11.0.1 em macOS. Setor corporativo global.
Detalhes técnicos
Vetor de ataque: LOCAL. Complexidade: LOW. Privilégios exigidos: LOW. Interação do usuário: NONE. CWE-269 (Improper Privilege Management). Técnica ATT&CK: T1068 (Exploitation for Privilege Escalation). Exploits públicos disponíveis nos links de packetstormsecurity. Patch disponível nas advisories VMSA‑2020‑0005.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize VMware Fusion para ≥ 11.5.2, Horizon Client para ≥ 5.4.0 e Remote Console para ≥ 11.0.1 conforme advisories VMSA‑2020‑0005
- 2
Inventarie todas as máquinas macOS e verifique versões instaladas; remova ou isole hosts não atualizados
- 3
Implemente monitoramento de execuções de binários setuid VMware e alertas de elevação de UID para 0
Sugestões de detecção
- ›
Consulte logs de auditoria macOS (auditd) por execuções de binários com setuid pertencentes a /Applications/VMware* e filtre por UID de origem diferente de 0; gere alerta quando UID muda para 0
- ›
No SIEM, crie query em syslog ou osquery para processos iniciados por vmware-fusion, vmware-vmx ou vmware-usb-arbitrator que alteram o usuário para root; correlacione com timestamps de login local
Falsos positivos
Não há indicadores de comprometimento específicos; execuções legítimas de binários setuid VMware podem gerar alertas, requerendo validação de versão e contexto de uso.