CVE-2020-3992 – VMware ESXi OpenSLP Use‑After‑Free RCE
A vulnerabilidade use‑after‑free no serviço OpenSLP do VMware ESXi permite execução remota de código a partir da rede de gerenciamento. O vetor é totalmente remoto, sem necessidade de privilégios ou interação do usuário, e tem pontuação CVSS 9.8 (crítica). O EPSS indica 83 % de chance de exploração nos próximos 30 dias, e a CISA já confirmou exploração ativa. A correção exige aplicação de patches antes de 3 maio 2022. A prioridade de mitigação é alta para ambientes que utilizam ESXi.
Dados confirmados por NVD (CVSS detalhado), EPSS com alta probabilidade de exploração e inclusão no catálogo CISA KEV com exploração ativa e prazo de mitigação obrigatório
O que aconteceu
Um atacante na rede de gerenciamento pode enviar solicitações ao serviço SLP na porta 427 e explorar um erro de uso de memória liberada (CWE‑416) para executar código arbitrário no host ESXi. O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) demonstra que a exploração não requer credenciais nem interação humana. O EPSS de 83 % reflete a alta probabilidade de exploração em curto prazo.
Por que isso importa
A exploração compromete confidencialidade, integridade e disponibilidade simultaneamente, permitindo controle total do hypervisor. Isso pode levar à fuga de máquinas virtuais, interrupção de serviços críticos e uso do ambiente para ransomware, conforme relatado pela CISA.
Quem está em risco
Organizações que executam VMware ESXi (incluindo Cloud Foundation 3.x <3.10.1.2 e 4.x <4.1.0.1) em ambientes corporativos globais, especialmente aquelas com redes de gerenciamento expostas.
Detalhes técnicos
Vetores: rede (NETWORK), complexidade baixa, sem privilégios, sem interação do usuário. CWE‑416 (Use‑After‑Free). MITRE ATT&CK: T1210 (Exploitation of Remote Services) e T1203 (Exploitation for Client Execution). Versões vulneráveis: VMware Cloud Foundation >=3.0 <3.10.1.2 e >=4.0 <4.1.0.1. Patches disponíveis em https://www.vmware.com/security/advisories/VMSA-2020-0023.html. Exploit público citado em ZDI‑20‑1377.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar o patch VMSA‑2020‑0023 (versão 3.10.1.2 ou superior para a série 3.x, e 4.1.0.1 ou superior para a série 4.x) antes de 2022‑05‑03
- 2
Isolar o serviço OpenSLP (porta 427) em VLAN ou firewall de gerenciamento para limitar o acesso externo
- 3
Auditar e validar que nenhum processo inesperado foi iniciado após tentativas de conexão ao serviço SLP
Sugestões de detecção
- ›
Consultar logs de firewall ou IDS para conexões inbound à porta TCP/UDP 427 provenientes de sub‑redes não autorizadas e gerar alerta de origem externa
- ›
No SIEM, criar regra que correlacione eventos de criação de processos inesperados no host ESXi com precedentes de solicitações SLP recentes (ex.: evento syslog "slpd" ou auditd "execve" com binário desconhecido)
Falsos positivos
Não há indicadores de comprometimento estruturados; tráfego legítimo de SLP pode gerar alertas, portanto correlacione com mudanças de processo ou origem não autorizada