VMware Aria Operations command injection vulnerability

VMware Aria Operations (ex-vRealize Operations) tem uma falha de command injection que permite a um atacante não autenticado executar comandos arbitrários no appliance, levando a RCE. A condição crítica que a manchete esconde: a exploração só é possível enquanto uma migração de produto assistida pelo suporte (support-assisted product migration) está em andamento — não é uma janela de ataque permanente, mas quando essa migração ocorre, não há autenticação nem interação do usuário envolvidas.

A Broadcom classifica a falha como command injection (CWE-77, conforme a entrada da CISA no catálogo KEV) em VMware Aria Operations. O advisory VMSA-2026-0001 não detalha o componente ou parâmetro exato vulnerável no código — apenas afirma que o vetor de ataque conhecido ocorre 'enquanto a migração de produto assistida pelo suporte está em progresso'. Isso indica que existe um fluxo/serviço acionado durante esse processo de migração que aceita entrada externa e a passa, sem sanitização adequada, para execução de comando no shell do appliance.

O vetor CVSS (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) é revelador: rede, sem privilégios, sem interação do usuário, mas com Attack Complexity High. O AC:H aqui provavelmente reflete exatamente essa pré-condição operacional — a migração assistida por suporte precisa estar ativa — e não uma dificuldade técnica de exploração em si. Nenhuma das fontes detalha o comando ou serviço específico exposto durante a migração, então esse nível de granularidade não deve ser especulado.

A falha foi divulgada junto com outras duas no mesmo advisory: CVE-2026-22720 (XSS armazenado, requer privilégio para criar benchmarks customizados) e CVE-2026-22721 (escalada de privilégio via vCenter). São vulnerabilidades distintas, com pré-requisitos e impacto diferentes — só a CVE-2026-22719 está no KEV da CISA e só ela é tratada nesta página.

O pré-requisito operacional é o fator decisivo: a exploração depende de o appliance estar em processo de migração assistida por suporte (support-assisted product migration). Fora dessa janela, o vetor descrito pelo fornecedor não se aplica. Quando essa condição está presente, o atacante não precisa de credenciais nem de interação do usuário, e o acesso é via rede — o que combina com AV:N/PR:N/UI:N no vetor CVSS.

A Broadcom confirmou, em atualização do VMSA-2026-0001, estar ciente de relatos de exploração potencial em ambiente real, embora não tenha confirmado independentemente a validade desses relatos. A CISA incluiu a CVE no catálogo KEV em 03/03/2026 com prazo de correção até 24/03/2026, o que indica exploração ativa suficientemente verificada para o critério de inclusão da agência — mas o campo 'usada em campanhas de ransomware' está marcado como 'Unknown'.

O resultado final, segundo o fornecedor, é execução arbitrária de comando no appliance, com potencial de RCE completo — refletido no impacto máximo (C:H/I:H/A:H) do CVSS. Nenhuma fonte lida detalha payload, endpoint ou sequência de exploração; nenhum PoC público foi encontrado nas fontes consultadas.

Aplicar a versão corrigida é a única mitigação completa. Para Aria Operations standalone: 8.18.6 (ramo 8.x) ou 9.0.2 (ramo 9.x). Para VMware Cloud Foundation: VCF 5.2.3 ou VCF 9.0.2 (VCF Operations 9.0.2.0). Para VMware Telco Cloud Platform e Telco Cloud Infrastructure, o Response Matrix da VMSA-2026-0001 aponta para a KB428241 como caminho de remediação, sem um número de versão fixo listado diretamente na tabela — consulte essa KB para o build específico do produto Telco.

Quando o patch não é viável de imediato, a Broadcom publicou um workaround documentado na KB 430349: um script (aria-ops-rce-workaround.sh) que deve ser copiado e executado, com privilégio root, em todos os nós do appliance Aria Operations (não apenas no nó master). É importante entender o limite desse paliativo: ele mitiga exclusivamente a CVE-2026-22719. As outras duas falhas do mesmo advisory, CVE-2026-22720 (XSS armazenado) e CVE-2026-22721 (escalada de privilégio via vCenter), não são endereçadas pelo workaround e exigem upgrade de versão para serem corrigidas.

A Broadcom afirma explicitamente que não é necessário revogar o workaround antes de aplicar o upgrade definitivo — ele pode ser aplicado como ponte até a atualização. Não há indicação nas fontes de que regras de firewall ou desativação de porta específica sirvam como mitigação alternativa; o controle compensatório documentado é apenas o script oficial.

Nenhuma das fontes consultadas (VMSA, KB da Broadcom, release notes, entrada da CISA KEV) publica indicadores de comprometimento, assinatura de log ou padrão de tráfego específico associado à exploração dessa CVE. A Broadcom apenas menciona estar ciente de relatos de exploração potencial, sem detalhar telemetria. Na ausência de IOC oficial, o sinal mais direto de exposição é operacional: verificar se o ambiente Aria Operations passou ou está passando por processo de migração assistida por suporte no período relevante, e revisar logs de execução de processos/shell nos nós do appliance durante essas janelas.