Saludos, nadie se queda a salvo de la vulnerabilidad más grave de todos los tiempos, si bien el otro día vimos como parchear Zimbra en todos sus sabores, hoy le toca el paso a esta notificación por parte de VMware.
1.- Resumen
Productos VMware con la vulnerabilidad en la seguridad de OpenSSL. Desde hoy mismo los ingenieros de VMware están trabajando sin descanso para proporcionar una solución a tan temible brecha de seguridad. VMware espera que todos los productos estén perfectamente parcheados para el día 19 de Abril según este artículo 2076225
2.- Versiones importantes afectadas
- Horizon Workspace Server 1.0
- Horizon Workspace Server 1.5.x sin el parche horizon-nginx-rpm-1.5.0.0-1736237.x86_64
- Horizon Workspace Server 1.8.0 sin el parche horizon-nginx-rpm-1.8.1.1810-1736201.x86_64
3.- Descripción del problema
a. La vulnerabilidad no es tanto de VMware si no de una libreria de terceeros llamada OpenSSL La libreria OpenSSL ha sido actualizada a la versión openssl-1.0.1g para resolver los problemas de seguridad En el Common Vulnerabilities and Exposures project (cve.mitre.org) se le han asignado los nombres CVE-2014-0076 y CVE-2014-0160a estas incidencias. CVE-2014-0160 es más conocida como la incidencia de Heartbleed. La cuarta columna de esta tabla, indica la acción a seguir para corregir esta vulnerabilidad, si es que está disponible.
| VMware | Producto | Corriendo | Reemplazar con / |
| Producto | Version | sobre | el siguiente Parche |
| vCenter Server | 5.5 | Windows | 5.5 Update 1a o 5.5.0c |
| ESXi | 5.5 | ESXi | ESXi550-201404420 |
| VMware Workstation | 10.x | any | 10.0.2 o posterior |
| VMware Fusion | 6.0.x | OSX | 6.0.3 o posterior |
| VMware Player | 6.0.x | any | 6.0.2 o posterior |
| NSX-MH | 4.x | 4.0.2 o 4.1.1 dependiendo versión | |
| NSX-V | 6.0.x | 6.0.4 o posterior | |
| NVP | 3.x | 3.2.2 o posterior | |
| Horizon Mirage Edge Gateway | 4.4.x | Horizon Mirage Edge Gateway 4.4.2 | |
| Horizon View Feature Pack | 5.3 FP 1 | Feature Pack 2 o posterior | |
| Horizon View Client | 2.1.x | Android | 2.3.3 o posterior |
| Horizon View Client | 2.2.x | Android | 2.3.3 o posterior |
| Horizon View Client | 2.3.x | Android | 2.3.3 o posterior |
| Horizon View Client | 2.1.x | IOS | 2.3.3 o posterior |
| Horizon View Client | 2.2.x | IOS | 2.3.3 o posterior |
| Horizon View Client | 2.3.x | IOS | 2.3.3 o posterior |
| Horizon View Client | 2.3.x | Windows | 2.3.3 o posterior |
| Horizon Workspace Server | 1.0 | Horizon Workspace Server 1.5 and apply patch horizon-nginx-rpm-1.5.0.0-1736237.x86_64 | |
| Horizon Workspace Server | 1.5.x | horizon-nginx-rpm-1.5.0.0- 1736237.x86_64 | |
| Horizon Workspace Server | 1.8 | horizon-nginx-rpm-1.8.1.1810- 1736201.x86_64 | |
| Horizon Workspace Client | 1.5.1 | OSX | 1.8.1 o posterior |
| Horizon Workspace Client | 1.5.2 | OSX | 1.8.1 o posterior |
| Horizon Workspace Client | 1.5.1 | Windows | 1.8.1 o posterior |
| Horizon Workspace Client | 1.5.2 | Windows | 1.8.1 o posterior |
| Horizon Workspace for Macintosh | 1.8 | OSX | 1.8.1 o posterior |
| Horizon Workspace for Windows | 1.8 | Windows | 1.8.1 o posterior |
| OVF Tool | 3.5.0 | 3.5.1 | |
| vCloud Networking and Security | 5.1.3 | vCNS 5.1.4 | |
| vCloud Networking and Security | 5.5.1 | vCNS 5.5.2 | |
| vCloud Automation Center (vCAC) | 6.x | 6.0.1 + parche |
Nota Los productos no afectados por esta vulnerabilidad, han sido recogidos en el siguiente VMware Knowledge Base article 2076225.
4.- Solución
Por favor, verifica las notas del parche y verifica el checksum md5 al descargar el fichero.
Horizon Workspace Server 1.5 File: horizon-nginx-rpm-1.5.0.0-1736237.x86_64.rpm
md5sum: bc4cc609f926701cac2b199f895ab16d
sha1sum: fa456e042698a2cb19077fbd2199d948532af0c8
Notas del parche y descarga: http://kb.vmware.com/kb/2076551
Horizon Workspace Server 1.8 File: horizon-nginx-rpm-1.8.1.1810-1736201.x86_64.rpm
md5sum: 06700c790119a4ac4780628f258f0983
sha1sum: 0c4186e56f7c08b4323d1004ea94251fb74812d5
Notas del parche y descarga: http://kb.vmware.com/kb/2076551
5.- Referencias
VMware Knowledge Base article 2076225.
The Heartbleed Bug http://heartbleed.com/
6.- Updates
VMware va lanzando poco a poco parches, es el turno de Horizon Mirage Edge Gateway 4.4.2, pero todavía quedan muchos productos que corregir.
Actualización 17/04/2014 – Se actualiza y corrige – vCloud Networking and Security
Actualización 18/04/2014 – Se actualizan los productos de Virtualización para Sistemas operativos de escritorio (VMware Workstation, Fusion, Player). Se actualiza también todos los clientes para Workspace client.
Actualización 19/04/2014 – VMware actualiza su cliente para Horizon View en todos los dispositivos y NSX para vSphere.
[…] VMware Heartbleed – VMSA-2014-0004 […]