CVE-2020-4006: Command Injection em Produtos VMware
Uma vulnerabilidade de injeção de comandos afeta vários produtos VMware, permitindo execução arbitrária no sistema operacional. O ataque requer acesso de rede ao configurador administrativo na porta 8443 e credenciais válidas de administrador. O impacto cobre confidencialidade, integridade e disponibilidade, classificado como crítico. A exploração já está confirmada em ambientes reais, exigindo ação imediata. A prioridade de mitigação é alta devido ao vetor de rede e à facilidade de exploração.
Dados confirmados por NVD, EPSS, e inclusão no catálogo CISA KEV com exploração ativa; múltiplas fontes (advisory do vendor, NVD) corroboram a gravidade e a necessidade de mitigação.
O que aconteceu
Um atacante que obtém acesso de rede ao configurador administrativo (porta 8443) e credenciais de administrador pode injetar comandos que são executados com privilégios ilimitados no host subjacente. O CVSS 3.1 (AV:N/AC:L/PR:H/UI:N) indica ataque via rede, baixa complexidade, privilégios altos e sem interação do usuário. O EPSS de 17,3% reflete alta probabilidade de exploração nos próximos 30 dias.
Por que isso importa
A execução de comandos arbitrários pode comprometer todo o ambiente VMware, permitindo roubo de dados, instalação de malware e interrupção de serviços críticos. Organizações que dependem desses produtos podem enfrentar perdas operacionais e de reputação. A vulnerabilidade afeta a camada de gerenciamento, expondo todo o ecossistema conectado.
Quem está em risco
Produtos VMware Workspace ONE Access, Access Connector, Identity Manager e Identity Manager Connector (versões >=8.0). Setor corporativo global que utiliza esses componentes para gerenciamento de identidade e acesso.
Detalhes técnicos
Vetores: rede, complexidade baixa, privilégios altos, sem interação do usuário. CWE-78 (Command Injection). Técnica ATT&CK: T1059 (Command and Scripting Interpreter) – sub‑técnica T1059.003 (Windows Command Shell) ou T1059.004 (Unix Shell) conforme o SO subjacente. Exploração confirmada em ambientes reais; patches disponíveis nos advisories VMSA‑2020‑0027.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar as atualizações fornecidas no advisory VMSA‑2020‑0027 (versão 8.0 ou superior) até 2022‑05‑03 conforme exigido pela CISA KEV
- 2
Alterar imediatamente as credenciais do conta administrador do configurador e habilitar autenticação multifator se suportado
- 3
Restringir o acesso de rede à porta 8443 apenas a endereços IP de gerenciamento confiáveis e segmentar a rede do configurador
Sugestões de detecção
- ›
Consultar logs do VMware Access Configurator (arquivo de log /var/log/vmware/access-configurator.log) buscando entradas que contenham execuções de comandos ou parâmetros inesperados
- ›
Criar regra SIEM que correlacione conexões TCP para a porta 8443 provenientes de IPs não autorizados com eventos de criação de processos (e.g., execve, CreateProcess) nos hosts VMware
- ›
Monitorar eventos de auditoria Windows (EventID 4688) e Linux (auditd execve) para comandos iniciados pelo usuário "root" ou "admin" fora de janelas de manutenção
Falsos positivos
Não há IOCs estruturados; alertas podem ser disparados por atividades administrativas legítimas no configurador, exigindo verificação de credenciais e horário de operação.