La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el viernes una vulnerabilidad crítica en Broadcom VMware vCenter Server que fue parcheada en junio de 2024 a su catálogo de vulnerabilidades explotadas conocidas (KEV), citando evidencia de explotación activa en la naturaleza.
La falla de seguridad en cuestión es CVE-2024-37079 (Puntuación CVSS: 9,8), que se refiere a un desbordamiento del montón en la implementación del protocolo DCE/RPC que podría permitir a un atacante con acceso de red a vCenter Server lograr la ejecución remota de código enviando un paquete de red especialmente diseñado.
Broadcom lo solucionó en junio de 2024 junto con CVE-2024-37080, otro desbordamiento del montón en la implementación del protocolo DCE/RPC que podría conducir a la ejecución remota de código. A los investigadores Hao Zheng y Zibo Li de la empresa china de ciberseguridad QiAnXin LegendSec se les atribuye el mérito de descubrir e informar los problemas.
En una presentación en la conferencia de seguridad Black Hat Asia en abril de 2025, los investigadores dijeron que las dos vulnerabilidades eran parte de una serie de cuatro vulnerabilidades (tres desbordamientos de montón y una escalada de privilegios) descubiertas en el servicio DCE/RPC. Broadcom solucionó las otras dos vulnerabilidades, CVE-2024-38812 y CVE-2024-38813, en septiembre de 2024.
Específicamente, descubrieron que una de las vulnerabilidades de desbordamiento del montón podría estar vinculada a la vulnerabilidad de escalada de privilegios (CVE-2024-38813) para obtener acceso raíz remoto no autorizado y, en última instancia, obtener el control de ESXi.
Actualmente se desconoce cómo se explota CVE-2024-37079, si es obra de un actor o grupo de amenazas conocido y la escala de los ataques. Sin embargo, Broadcom ha actualizado su aviso para confirmar oficialmente el abuso real de la vulnerabilidad.
“Broadcom tiene información que indica que CVE-2024-37079 ha sido explotado en estado salvaje”, dijo la compañía en su actualización.
Dada la explotación activa, las autoridades del Poder Ejecutivo Civil Federal (FCEB) deben actualizar a la última versión antes del 13 de febrero de 2026 para garantizar una protección óptima.
About The Author
