El 27 de octubre de 2026, Broadcom emitió el aviso VMSA-2026-0008.1 revelando la vulnerabilidad CVE-2026-111497 en el componente SDDC Manager de VMware Cloud Foundation. La falla se origina por un error de escritura fuera de límites (out-of-bounds write) en el decodificador Brotli del entorno Node.js embebido. Su severidad varía drásticamente según la rama de software: para la versión 9.1.1.x es Crítica (CVSS 9.8) al ser explotable remotamente y sin autenticación. Para las versiones 9.1.0, 9.0.x y 5.2.x, se clasifica como Importante (CVSS 7.5), ya que el atacante requiere acceso a la red adyacente. Actualmente, no existe un parche definitivo publicado (“Patch pending”) ni evidencia de explotación activa o pruebas de concepto (PoC) públicas.
Análisis Técnico y Vectores de Riesgo
Esta vulnerabilidad pone en riesgo el orquestador central de los centros de datos definidos por software (SDDC).
- Corrupción de Memoria (OOB Write): El problema reside en cómo el decodificador Brotli gestiona flujos de datos comprimidos malformados. Al procesar una estructura específica, falla al validar los límites del búfer de destino en memoria, provocando una escritura fuera de límites en el heap.
- Ejecución Remota de Código (RCE): Un atacante que modele cuidadosamente el payload (enviando una solicitud HTTP con Content-Encoding: br) puede sobrescribir metadatos o punteros de función. Esto altera el flujo del programa, permitiendo pasar de una caída del servicio a ejecutar código arbitrario en el sistema operativo del appliance.
- Asimetría de Exposición: La versión 9.1.1.x presenta el mayor riesgo habilitador, ya que el vector de ataque es de red (AV:N) y de baja complejidad. Las versiones anteriores requieren que el atacante se encuentre posicionado en la misma VLAN de gestión (AV:A) y dependen de condiciones de alta complejidad para ser explotadas.
- Impacto Sistémico: Un compromiso exitoso del SDDC Manager permite al atacante extraer credenciales o secretos de integración (vCenter SSO, NSX Manager) y desplegar cargas maliciosas hacia toda la infraestructura de virtualización subyacente.
Plan de Mitigación Operativa y Respuesta
- Contención y Segmentación de Red: El SDDC Manager debe regirse bajo un modelo Zero Trust. Se debe restringir estrictamente el acceso de red hacia sus interfaces de gestión, permitiendo la comunicación únicamente desde redes de bastión (Jump Servers) administrativas y bloqueando el acceso desde VPNs generales o estaciones de trabajo estándar.
- Despliegue de Workarounds (Soluciones Temporales): Se deben aplicar los procedimientos dictados por Broadcom, respetando la arquitectura específica de cada versión:
- Versión 9.1.1.x: Aplicar inmediatamente el artículo KB460732 (deshabilita la decodificación Brotli a nivel de proxy inverso/Node.js).
- Versiones 9.1.0, 9.0.x y 5.2.x: Aplicar de forma programada el artículo KB460734 (detiene microservicios no esenciales).
- (Nota Operativa: Estos procedimientos no deben intercambiarse y deberán ser revertidos estrictamente antes de instalar el parche definitivo para evitar corrupciones de estado en el software).
- Caza de Amenazas (Threat Hunting): Monitorear los registros de WAF/firewalls internos buscando solicitudes POST/PUT dirigidas al SDDC Manager que presenten encabezados Content-Encoding: br inusuales. Adicionalmente, revisar los logs del sistema (/var/log/messages, /var/log/syslog) buscando errores de “Segmentation fault” (segfault) asociados a Node.js, lo cual es indicio de intentos fallidos de explotación.
