Redazione RHC 5 Febbraio 2023 17:28
I ricercatori di sicurezza stanno segnalando una esplosione di compromissioni degli hypervisor VMware ESXi con oltre 500 macchine colpite dal ransomware questo fine settimana, con gli attacchi che sfruttano la CVE-2021-21974.
Come pubblicato da The Stack, circa 20 macchine ESXi venivano colpite ogni ora, utilizzando i dati messi a disposizione da Shodan che mostravano che la maggior di queste macchine era ospitata da OVHcloud. Ma il raggio d’azione si sta espandendo rapidamente.
I clienti francesi sembravano inizialmente essere quelli più colpiti e il CERT-FR del paese è stato tra i primi a pubblicare un avviso.
Gli attacchi potrebbero prendere di mira istanze prive di patch ed esposte a Internet utilizzando la CVE-2021–21974, un HeapOverflow su VMware ESXi OpenSLP che porta ad una remote code execution (RCE), ha affermato CERT-FR.
⚠️Alerte CERT-FR⚠️
— CERT-FR (@CERT_FR) February 3, 2023
CERTFR-2023-ALE-015 : Campagne d’exploitation d’une vulnérabilité affectant VMware ESXi (03 février 2023). https://t.co/KN6GDUdXcL
Sebbene l’avviso iniziale di VMware sia del 2021 e riguardava ESXi 7.0, 6.7 e 6.5, gli attacchi ora sembrano colpire anche le versioni di build precedenti.
Gli amministratori devono quindi garantire che i server ESXi in gestione e senza patch siano protetti da opportune regole firewall, senza esporre porte su internet.
La precedente mitigazione di VMware per la vulnerabilità ha invitato gli utenti a
OVHcloud ha dichiarato il 3 febbraio: “Un’ondata di attacchi sta attualmente prendendo di mira i server ESXi. Tuttavia, nessun servizio gestito da OVHcloud è interessato da questo attacco, poiché molti clienti utilizzano questo sistema operativo sui propri server, forniamo questo post come riferimento a supporto per aiutarli nella loro risoluzione”.
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull’informatica in generale.