**Broadcom corrige una vulnerabilidad crítica en VMware Fusion tras su exposición en Pwn2Own Berlín**

—

### Introducción

La seguridad de los entornos virtualizados vuelve a situarse bajo el foco tras el anuncio de un parche urgente para VMware Fusion, la solución de virtualización de escritorio de Broadcom orientada a sistemas macOS. El lanzamiento de este parche coincide con la participación de Broadcom en la competición de hacking Pwn2Own 2024 en Berlín, un evento que destaca por revelar fallos de seguridad de alto impacto en software ampliamente utilizado. En este artículo, se analiza en profundidad la vulnerabilidad corregida, sus implicaciones técnicas y los pasos que deben seguir los equipos de seguridad para proteger sus activos virtualizados.

—

### Contexto del Incidente o Vulnerabilidad

El evento Pwn2Own es reconocido mundialmente por incentivar la investigación proactiva de fallos de seguridad en aplicaciones críticas, poniendo a prueba la robustez de soluciones empleadas en entornos empresariales. En esta edición, investigadores de seguridad presentaron una vulnerabilidad de severidad alta en VMware Fusion, la plataforma que permite ejecutar máquinas virtuales Windows y Linux sobre sistemas macOS. Broadcom, actual propietaria de la línea VMware tras su adquisición a finales de 2023, respondió rápidamente publicando un parche tras la revelación coordinada de la vulnerabilidad.

—

### Detalles Técnicos

La vulnerabilidad, identificada como **CVE-2024-22256**, afecta a versiones de VMware Fusion previas a la 13.5.2. El fallo reside en el módulo de procesamiento de dispositivos virtuales USB, permitiendo a un atacante con acceso local a la máquina anfitriona ejecutar código arbitrario en el contexto del hipervisor. El vector de ataque principal consiste en manipular el flujo de datos entre el dispositivo USB físico y la máquina virtual, explotando una validación insuficiente de entradas (improper input validation).

**Tácticas y técnicas asociadas (MITRE ATT&CK):**
– **Initial Access:** Local access required (T1078 – Valid Accounts)
– **Execution:** Exploitation for privilege escalation (T1068 – Exploitation for Privilege Escalation)
– **Persistence/Evasion:** Potential for hypervisor escape (T1055 – Process Injection)

Los investigadores demostraron la explotación en directo durante Pwn2Own utilizando una combinación de técnicas de fuzzing y análisis inverso del componente USB. Aunque hasta la fecha no se han detectado exploits públicos, se advierte que la divulgación durante el concurso y la disponibilidad de detalles técnicos pueden acelerar el desarrollo de herramientas de explotación, tanto en frameworks como Metasploit como en kits customizados para operaciones ofensivas avanzadas.

**Indicadores de compromiso (IoC):**
– Acceso inusual a procesos de VMware Fusion desde cuentas locales no autorizadas
– Modificación inesperada de archivos de configuración de dispositivos USB virtuales
– Logs del sistema con registros de acceso y manipulación de dispositivos USB fuera de horario habitual

—

### Impacto y Riesgos

La explotación exitosa de CVE-2024-22256 podría permitir a un atacante elevar privilegios desde una máquina virtual invitada hasta el sistema anfitrión, rompiendo los límites de aislamiento que son fundamentales en entornos de virtualización segura. El riesgo es especialmente elevado en entornos de desarrollo, laboratorios de pruebas y equipos de pentesting que utilicen Fusion para ejecutar cargas de trabajo sensibles.

Según datos de Broadcom, las versiones afectadas están presentes en aproximadamente un 18% de los entornos macOS empresariales que utilizan soluciones de virtualización, lo que podría traducirse en miles de sistemas expuestos. A nivel normativo, una explotación con fuga de datos podría desencadenar notificaciones por parte de los responsables del tratamiento de datos bajo el Reglamento General de Protección de Datos (GDPR) o la directiva NIS2, con posibles sanciones económicas y reputacionales.

—

### Medidas de Mitigación y Recomendaciones

Broadcom recomienda actualizar inmediatamente a VMware Fusion 13.5.2 o superior, disponible desde el portal oficial de VMware. Para equipos que no puedan aplicar el parche de forma inmediata, se aconseja:

– Restringir el acceso físico y lógico a los sistemas anfitriones
– Deshabilitar el soporte para dispositivos USB en las máquinas virtuales cuando no sea estrictamente necesario
– Monitorizar los logs de eventos para identificar patrones de actividad anómala asociados a la explotación de dispositivos virtuales

Es crucial integrar la actualización en los procesos de gestión de parches y realizar auditorías periódicas de configuración para asegurar que no existen desviaciones respecto a las guías de hardening recomendadas.

—

### Opinión de Expertos

Especialistas en seguridad como Kevin Beaumont han subrayado la importancia de la divulgación coordinada y el papel de competiciones como Pwn2Own en la mejora de la seguridad del software empresarial: “Las vulnerabilidades en hipervisores son especialmente críticas porque rompen el modelo de aislamiento. La rápida respuesta de Broadcom es positiva, pero pone de manifiesto la necesidad de controles defensivos adicionales más allá de la simple aplicación de parches”.

—

### Implicaciones para Empresas y Usuarios

Las organizaciones que emplean VMware Fusion para desarrollo, pruebas o uso en campo deben evaluar urgentemente su exposición y priorizar la actualización a la versión corregida. Los equipos de seguridad deben actualizar sus reglas de detección y respuesta (EDR/NDR) para identificar intentos de explotación y reforzar la segmentación de red para limitar movimientos laterales en caso de compromiso.

Para los usuarios particulares, aunque el riesgo es menor al requerir acceso local, se recomienda igualmente aplicar el parche y revisar las políticas de control de dispositivos periféricos.

—

### Conclusiones

La rápida publicación del parche para CVE-2024-22256 tras su revelación en Pwn2Own Berlín demuestra la eficacia de los modelos de divulgación responsable y la importancia de mantener actualizadas las soluciones de virtualización. El incidente refuerza la necesidad de combinar la gestión proactiva de vulnerabilidades con controles de seguridad multicapa, especialmente en entornos donde el aislamiento entre sistemas es crítico.

(Fuente: www.securityweek.com)