El fallo ha sido descubierto por Core Security Technologies y los detalles del mismo puede encontrarse en este boletín. Consiste en un fallo en la implementación de la funcionalidad de Shared Folders presentes en varias versiones del producto. El error es de tipo PATH transversal, es decir, un filtrado incorrecto de la secuencia ".." que permite escapar de los directorios definidos. El detalle más técnico es un error a la hora de convertir una cadena de UTF-8 a UTF-16, así como de un mal uso del API encargado de esa función.
La respuesta del fabricante ha sido no usar esta funcionalidad del vmware.
1 comentario:
Pues sí que estamos apañados, como todas las "soluciones" a problemas de seguridad fuesen "no uses la característica X..". Al menos, el problema está resuelto en versiones más recientes del programa, pero es un fastidio que no haya parche (actualizar VMWare Player no lleva mucho, pero los otros programas da rabia).
PD: me parece un blog muy interesante, ¡gracias por escribirlo!
Publicar un comentario