Múltiples vulnerabilidades en productos VMware

30/09/2025 Noticias 0

Se han descubierto vulnerabilidades de severidad alta en productos VMware. Un actor malicioso podría inyectar cabeceras SMTP, enumerar usuarios, elevar privilegios o exponer credenciales de otros usuarios en los sistemas afectados.

Productos afectados

  • Operaciones de VMware Cloud Foundation
    • 9.x, versiones anteriores a 9.0.1.0
  • Operaciones de VMware Aria
    • 8.x, versiones anteriores a 8.18.5
  • Herramientas de VMware
    • 13.x, versiones anteriores a 13.0.5
    • 12.x, versiones anteriores a 12.5.4
    • 11.x, todas las versiones
  • VMware vCenter
    • 8.0.x, versiones anteriores a 8.0.U3g
    • 7.0.x, versiones anteriores a 7.0.U3w
  • VMware NSX
    • 4.2.x, versiones anteriores a 4.2.2.2
    • 4.2.3.x, versiones anteriores a 4.2.3.1
    • 4.0.x, versiones anteriores a 4.1.2.7
  • VMware NSX-T
    • 3.x, versiones anteriores a 3.2.4.3

Impacto

Las vulnerabilidades de mayor severidad se ha identificado como:
 
 CVE‑2025‑41250: con una puntuación de 8.5 en CVSS v3.1. Existe una vulnerabilidad de Inyección de cabeceras SMTP en vCenter Server. Un actor con privilegios no administrativos y permiso para crear tareas programadas podría manipular los correos de notificación del sistema.

CVE‑2025‑41251: con una puntuación de 8.1 en CVSS v3.1. Existe una vulnerabilidad de Mecanismo débil de recuperación de contraseña (NSX). Un actor no autenticado podría enumerar nombres de usuario válidos, facilitando ataques de fuerza bruta.

CVE‑2025‑41246: con una puntuación de 7.6 en CVSS v3.1. Existe una vulnerabilidad de Autorización indebida (VMware Tools para Windows). Un actor no administrativo autenticado vía vCenter o ESX, con conocimiento de credenciales de VMs objetivo, podría acceder a otras VMs invitadas.

Recomendación

Actualizar a la última versión disponible a través del sitio web oficial del fabricante.

Referencias

  • https://nvd.nist.gov/vuln/detail/CVE-2025-41250
  • https://nvd.nist.gov/vuln/detail/CVE-2025-41251
  • https://nvd.nist.gov/vuln/detail/CVE-2025-41246
  • https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36149
  • https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36150