Cabecera-v2-web.jpg

Vulnerabilidades críticas en Citrix Hypervisor


13/09/2021

Se han descubierto varios problemas de seguridad en Citrix Hypervisor que, en conjunto, pueden permitir que la ejecución de código privilegiado en una máquina virtual invitada comprometa o bloquee el host.

Citrix Hypervisor Reviews, Ratings, and Features - Gartner 2021

Estos problemas tienen los siguientes identificadores:

  • CVE-2021-28694: (Host DoS) de severidad media con una puntuación 6.8. Ejecución de código privilegiado malintencionado en una máquina virtual invitada que se ejecuta en un host con firmware que declara tablas ACPI que incluyen regiones de memoria asignadas por identidad para dispositivos que el administrador del host asignó explícitamente a esa máquina virtual invitada en modo de paso a través de PCI.
  • CVE-2021-28697: (Compromiso del Host) de severidad alta con una puntuación 7.8. Ejecución de código privilegiado malintencionado en una máquina virtual invitada que tiene dos o más CPU virtuales asignadas
  • CVE-2021-28698: (Host DoS) de severidad media con una puntuación 5.5. Ejecución de código privilegiado malicioso en una máquina virtual invitada
  • CVE-2021-28699: (Compromiso del Host) de severidad media con una puntuación 5.5. Ejecución de código privilegiado malicioso en una máquina virtual invitada en un host donde el administrador del host ha modificado los límites de la tabla de concesión de invitados o hosts.
  • CVE-2021-28701: (Compromiso del Host). Ejecución de código privilegiado malicioso en una máquina virtual invitada que tiene dos o más CPU virtuales asignadas.

Los productos afectados son: Citrix Hypervisor 8.2 LTSR, anterior a la revisión CTX324257 y Citrix Hypervisor 7.1 LTSR CU2, anterior a la revisión CTX324256.

La explotación exitosa de las vulnerabilidades puede permitir a un atacante tomar el control total del host.

Citrix ha publicado revisiones para solucionar estos problemas. Desde el CERT-PY recomendamos a los usuarios afectados instalar las revisiones según lo permita su programa de actualizaciones. Las revisiones se pueden descargar desde las siguientes ubicaciones:

Información adicional:


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tecnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11