Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad de VMware ESXi
Vulnerabilidad de VMware ESXi
Escrito por: Monica Burgess
Publicado: 07/11/25
Las vulnerabilidades de VMware ESXi son fallas de seguridad en el hipervisor ESXi de VMware, un componente crítico en entornos virtualizados. Estas vulnerabilidades suelen implicar ejecución remota de código (RCE), denegación de servicio (DoS) o escalada de privilegios, lo que permite a los atacantes comprometer máquinas virtuales. Por ejemplo, CVE-2021-21974 es una vulnerabilidad de desbordamiento de montón que permite la RCE, y representa riesgos significativos para las organizaciones.
¿Cuándo se descubrió?
La vulnerabilidad de VMware ESXi CVE-2021-21974 fue divulgada el 23 de febrero de 2021 por VMware. La vulnerabilidad se detalló públicamente poco después, y aparecieron exploits de prueba de concepto en cuestión de semanas. VMware lanzó parches de inmediato, pero los sistemas sin parchear siguen en riesgo.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
VMware ESXi | 6.5, 6.7, 7.0 | VMware Security Advisory VMSA-2021-0002 |
Descripción técnica de VMware ESXi
La vulnerabilidad de VMware ESXi CVE-2021-21974 es un problema de desbordamiento de montón en el servicio OpenSLP. Los atacantes pueden explotar esta falla enviando un paquete especialmente diseñado al puerto 427, lo que provoca corrupción de memoria y permite la ejecución remota de código. Esta vulnerabilidad se origina por una validación de entrada incorrecta en la implementación del protocolo SLP.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes explotan esta vulnerabilidad buscando servidores ESXi expuestos con el puerto 427 abierto. Una vez identificados, implementan cargas maliciosas para ejecutar código arbitrario, lo que a menudo conduce a la implementación de ransomware o al movimiento lateral dentro de la red.
Indicadores de compromiso
Tráfico inusual en el puerto 427
Modificaciones no autorizadas en las configuraciones de ESXi
Presencia de archivos o procesos relacionados con ransomware en máquinas virtuales
Pruebas de concepto y exploits conocidos
Hay exploits de prueba de concepto para CVE-2021-21974 disponibles en plataformas como GitHub. Se han observado campañas de explotación activa, en las que los atacantes aprovechan esta vulnerabilidad para implementar ransomware como ESXiArgs.
¿Cómo detectar la vulnerabilidad de VMware ESXi?
La detección implica monitorear el tráfico de red en busca de anomalías en el puerto 427 y analizar registros en busca de intentos de acceso no autorizado. Las herramientas de detección basadas en el sistema pueden identificar cargas maliciosas dirigidas al servicio OpenSLP. Las soluciones SIEM pueden usar consultas personalizadas para marcar actividad sospechosa.
Impacto y riesgo de la vulnerabilidad de VMware ESXi
La explotación de esta vulnerabilidad puede llevar al control total del sistema ESXi, lo que compromete todas las máquinas virtuales. Esto afecta la confidencialidad, la integridad y la disponibilidad de los datos, con posibles escenarios de uso indebido que incluyen ataques de ransomware y exfiltración de datos.
Estrategias de mitigación y remediación
Las organizaciones deben aplicar los parches más recientes de VMware, deshabilitar el servicio OpenSLP si no es necesario y restringir el acceso al puerto 427. Las medidas de mitigación inmediatas incluyen aislar los sistemas vulnerables y monitorear los indicadores de compromiso.
Preguntas frecuentes sobre la vulnerabilidad de VMware ESXi
La vulnerabilidad de VMware ESXi se refiere a fallas de seguridad en el hipervisor ESXi, como CVE-2021-21974. Estas vulnerabilidades a menudo implican ejecución remota de código o denegación de servicio, lo que permite a los atacantes comprometer entornos virtualizados. Los exploits suelen atacar el servicio OpenSLP en el puerto 427.
Los atacantes aprovechan la vulnerabilidad al buscar servidores ESXi expuestos y enviar paquetes maliciosos al servicio OpenSLP. Esto puede provocar corrupción de memoria, lo que permite la ejecución remota de código y un mayor compromiso del sistema.
Sí, los sistemas sin parches siguen siendo vulnerables, y los atacantes continúan aprovechando versiones desactualizadas de ESXi. Las organizaciones deben aplicar parches y seguir las mejores prácticas para mitigar los riesgos.
Las organizaciones deben aplicar los parches de seguridad de VMware, deshabilitar servicios innecesarios como OpenSLP y monitorear el tráfico de red en busca de actividad sospechosa. Implementar controles de acceso sólidos y usar herramientas de detección puede mejorar aún más la seguridad.
