Компания VMware призвала администраторов удалить устаревший аутентификационный плагин VMware Enhanced Authentication Plug-in (EAP). Дело в том, что EAP в доменных средах Windows подвержен атакам типа authentication relay, а также перехвату сессий из-за двух неисправленных уязвимостей.
EAP обеспечивает легкий вход в интерфейсы управления vSphere через интегрированную функцию Windows Authentication и функциональность смарт-карт на базе Windows. VMware объявила о прекращении поддержки EAP почти три года назад, в марте 2021 года, с релизом vCenter Server 7.0 Update 2.
Как теперь предупреждают в компании, исправленные на этой неделе уязвимости CVE-2024-22245 (9,6 балла по шкале CVSS) и CVE-2024-22250 (7,8 балла по шкале CVSS) могут быть использоваться передачи тикетов Kerberos и перехвата привилегированных сессий EAP.
«Злоумышленник может обманом вынудить целевого пользователя домена с установленным в браузере EAP запрашивать и передавать сервисные билеты для произвольных Active Directory Service Principal Names (SPN), — поясняют в VMware. — Также атакующий с непривилегированным локальным доступом к операционной системе Windows может перехватить привилегированный сеанс EAP, инициированный привилегированным пользователем домена в той же системе».
Нужно отметить, что есть и хорошие новости: устаревший VMware EAP не устанавливается по умолчанию и не входит в состав VMware vCenter Server, ESXi или Cloud Foundation. Однако администраторы нередко вынуждены устанавливать EAP вручную.
Для устранения CVE-2024-22245 и CVE-2024-22250 придется удалить как браузерный плагин/клиент (VMware Enhanced Authentication Plug-in 6.7.0), так и службу в Windows (VMware Plug-in Service). Чтобы удалить их или отключить, нужно выполнить ряд PowerShell-команд, как описано в этой инструкции.
В качестве альтернативы уязвимому и устаревшему плагину VMware рекомендует использовать другие методы аутентификации, включая Active Directory через LDAPS, Microsoft Active Directory Federation Services (ADFS), Okta и Microsoft Entra ID (ранее Azure AD).
