Alerta crítico CVE-2024-37079 na VMware vCenter já explorada; adesivo obrigatório para agências federais

A agência de segurança cibernética do governo dos Estados Unidos voltou a ligar os alarmes: a Cybersecurity and Infrastructure Security Agency (CISA) marcou como explorada activamente Uma vulnerabilidade crítica na VMware vCenter Server e pediu às agências federais civis para garantir seus servidores no prazo de três semanas. A falha, registrada como CVE-2024-37079, foi corrigida pelo fabricante em junho passado, mas a combinação de sua severidade e a confirmação de atividades na natureza tem elevado a resposta de emergência.

Em termos simples, o vCenter Server é a consola central que administra ambientes VMware vSphere: coordena hosts ESXi, máquinas virtuais e políticas de infraestrutura. Quando uma peça tão crítica apresenta uma falha de execução remota de código, o impacto potencial é enorme: um atacante com acesso de rede a vCenter poderia, através de um pacote especialmente manipulado, executar código no servidor sem necessidade de credenciais ou interação do usuário. Tecnicamente, a fraqueza vem de um transbordamento no manejo do protocolo DCERPC dentro de vCenter, e por sua natureza permite vetores de ataque de baixa complexidade.

Broadcom — apropietaria agora da VMware — avisou seus clientes da urgência de atualizar e publicou instruções de segurança; sua comunicação deixa claro que não existem mitigações sutitutas confiáveis para essa vulnerabilidade, pelo que a actualização das versões alteradas é a acção recomendada. O aviso do fornecedor pode ser consultado no seu portal de suporte: advisory de Broadcom.

A CISA formalizou a gravidade da situação adicionando CVE-2024-37079 ao seu catálogo de vulnerabilidades sabidamente exploradas, e disse que as agências do Executivo não militar (as Federal Civilian Executive Branch agencies) devem deixar protegidos os sistemas vulneráveis antes do 13 de Fevereiro de 2026, de acordo com a directiva operacional vinculativa BOD 22-01. Pode ler-se a ação da CISA e a exigência em seu comunicado público: alerta de CISA e a página da directiva: BOD 22-01.

O facto de a Broadcom confirmar que existem indícios de exploração real em ambientes produtivos intensifica a urgência: quando um fornecedor e a agência nacional de cibersegurança concordam que uma falha está sendo explorada, o risco transcende a mera hipótese. Diante disso, além de aplicar os adesivos oficiais (disponível na seção de segurança da VMware: Avisos de Segurança da VMware) as equipas de operações devem assumir a possibilidade de compromissos prévios e responder em conformidade.

Não é a primeira vez que as tecnologias de virtualização aparecem no radar por exploitações direcionadas: em meses anteriores foram detectadas campanhas que aproveitavam falhas em produtos relacionados com a VMware e outros componentes de Broadcom, o que reforça a ideia de que os atacantes apontam persistentemente para a camada de gestão de infraestrutura virtualizada. Estas tendências levaram a CISA a exigir remediações rápidas em várias ocasiões nos últimos anos.

Para os administradores e responsáveis pela segurança, a primeira medida ineludible é planejar e implementar a atualização de vCenter em janelas controladas, testando os adesivos em ambientes não produtivos antes de os colocarem em produção. Dado que não existem soluções temporárias oficiais Para CVE-2024-37079, convém também reduzir a superfície de ataque na medida do possível: isolar vCenter em uma rede de gestão separada, aplicar regras rigorosas de firewall que limitem o acesso por IP, e revisar controles de acesso administrativo. Também é prudente elevar a monitorização, correlacionar registros de auditoria e tráfego em busca de padrões anormais, e preparar procedimentos de resposta a incidentes por se detectar atividade suspeita.

É importante lembrar que manter cópias de segurança verificadas e um plano claro de recuperação ajuda a mitigar impactos se uma exploração chegar a comprometer a infraestrutura virtual. Além disso, coordenar-se com fornecedores e equipamentos internos de segurança para trocar indicadores de compromisso (IoCs) e lições aprendidas pode acelerar a contenção e recuperação.

A inclusão desta falha no catálogo de vulnerabilidades exploradas por atores reais e a ordem direta às agências federais sublinham uma lição recorrente: em infraestruturas críticas, as camadas de gestão são objetivos de alto valor e requerem manutenção e vigilância constantes. Se administrar vCenter ou depender de serviços que o utilizam, a janela para agir é curta e a prioridade deve ser a aplicação dos sistemas oficiais e a continuação das orientações do fornecedor e das autoridades competentes.

Para mais detalhes técnicos sobre a vulnerabilidade e para acessar os adesivos, consulte as fontes oficiais citadas: o registro do CVE em NIST ( CVE-2024-37079), o aviso do fornecedor em Broadcom ( advisory de Broadcom) e a comunicação da CISA ( alerta de CISA).