Des pirates informatiques parrainés par l’État russe exploitent une vulnérabilité que VMware a récemment corrigée dans certains de ses produits, a averti lundi la National Security Agency (NSA).

La vulnérabilité est suivie comme CVE-2020-4006 et il a été constaté qu’elle avait un impact sur le produit de gestion des identités VMware Workspace ONE Access et certains composants associés, notamment Identity Manager (vIDM) sur Linux, vIDM Connector sur Windows et Linux, VMware Cloud Foundation et vRealize Suite Lifecycle Manager.

Un attaquant ayant obtenu l’accès à l’interface de gestion Web du système peut exploiter la vulnérabilité pour exécuter des commandes arbitraires avec des privilèges élevés sur le système d’exploitation sous-jacent.

VMware a révélé la vulnérabilité pour la première fois le 23 novembre, lorsqu’il a annoncé aux clients qu’il travaillait sur un correctif. Il y a quelques jours, en annonçant la disponibilité des correctifs, le géant de la virtualisation a révélé avoir appris la faille de la NSA, mais sans évoquer l’exploitation active.

Dans un avis publié lundi, la NSA a déclaré que «des cyberacteurs malveillants parrainés par l’État russe» exploitaient CVE-2020-4006, mais elle n’a partagé aucune information sur le ou les groupes qui ont lancé les attaques ou l’un des cibles. Sur la base du calendrier de divulgation, il est probable que la faille de sécurité ait été exploitée avant la publication d’un correctif.

La NSA a déclaré que la vulnérabilité avait été exploitée dans le cadre d’une attaque qui a permis aux attaquants d’accéder à des données sensibles.

«L’exploitation via l’injection de commandes a conduit à l’installation d’un shell Web et à une activité malveillante consécutive où des informations d’identification sous la forme d’assertions d’authentification SAML ont été générées et envoyées à Microsoft Active Directory Federation Services (ADFS), qui à son tour a permis aux acteurs d’accéder à données protégées », a déclaré la NSA dans son avis.

L’agence a souligné que l’établissement d’un …