El 29 de septiembre de 2025, Broadcom, propietaria de VMware, emitió un aviso de seguridad crucial, el VMSA-2025-0016, que resalta tres vulnerabilidades importantes en VMware vCenter Server y VMware NSX/NSX-T. Estas vulnerabilidades, clasificadas con una gravedad importante y con un rango CVSSv3 de 7,5 a 8,5, requieren atención inmediata ya que no cuentan con soluciones temporales documentadas.
Las vulnerabilidades identificadas son:
-
CVE-2025-41250: Inyección de cabeceras SMTP en vCenter. Un usuario no administrativo con permisos para crear tareas programadas podría manipular correos de notificación, alterando remitentes o destinatarios y proporcionando una vía para phishing o exfiltración de datos.
-
CVE-2025-41251: Mecanismo débil de recuperación de contraseñas en NSX, que podría permitir a un atacante no autenticado enumerar nombres de usuario válidos, elevando el riesgo de ataques de fuerza bruta.
-
CVE-2025-41252: Enumeración de usuarios en NSX, que sin autenticación permite obtener listados de cuentas válidas, ampliando la superficie para intentos de acceso no autorizados.
El impacto operacional se extiende a productos como VMware Cloud Foundation, vCenter Server (versiones 7.0 y 8.0), NSX/NSX-T, y plataformas como VMware Telco Cloud Platform e Infrastructure. Broadcom ha priorizado publicar actualizaciones, recomendando el parcheo inmediato como única solución viable.
Para CVE-2025-41250, las versiones corregidas incluyen vCenter 8.0 U3g y 7.0 U3w. En cuanto a CVE-2025-41251 y CVE-2025-41252, las actualizaciones abarcan NSX 9.0.1.0 y otras versiones específicas según la variante del producto. La ausencia de workarounds subraya la urgencia del parcheo.
Este aviso resalta la importancia de mantener actualizados los componentes críticos de VMware para evitar abusos potenciales en la gestión de computación, red y segmentación. Las instrucciones específicas para los administradores incluyen realizar un inventario exhaustivo, evaluar el riesgo de exposición, y desplegar parches según la configuración del entorno afectado.
El reporte de estas vulnerabilidades involucra a individuos y entidades acreditadas, como Per von Zweigbergk y la National Security Agency (NSA). Como referencia, Broadcom ofrece enlaces de descarga y notas oficiales detalladas, estipulando el cumplimiento estricto de las normas de seguridad para mitigar estas nuevas amenazas tecnológicas.
