Vulnerabilidades y Avisos de Seguridad: Escritura fuera de límites en SDDC Manager de Broadcom

Resumen de la alerta

Broadcom ha confirmado una vulnerabilidad crítica en SDDC Manager, componente presente en VMware Cloud Foundation y VMware vSphere Foundation. El problema, identificado como CVE-2026-111497, se encuentra en el decodificador Brotli integrado en Node.js y puede permitir la ejecución arbitraria de código.

La vulnerabilidad consiste en una escritura fuera de límites al procesar datos Brotli manipulados. Broadcom considera crítico el impacto para SDDC Manager 9.1.1.x y alto para las versiones anteriores afectadas.

Existe explotación confirmada de la vulnerabilidad de Brotli. Sin embargo, la información disponible no confirma ataques específicos contra SDDC Manager. Las organizaciones que utilicen las versiones afectadas deben priorizar la aplicación de las mitigaciones temporales publicadas por Broadcom mientras se espera la disponibilidad de correcciones definitivas.

Recursos afectados

• VMware Cloud Foundation y VMware vSphere Foundation: SDDC Manager 9.1.1, 9.1.0 y 9.0.x.
• VMware Cloud Foundation: SDDC Manager 5.2.x.

Descripción de la vulnerabilidad

CVE-2026-111497 afecta al decodificador Brotli integrado en Node.js. Brotli es un mecanismo de compresión y descompresión de datos; en este caso, un contenido comprimido especialmente manipulado podría provocar una escritura fuera de los límites de memoria previstos durante su procesamiento.

Este tipo de fallo puede corromper memoria y derivar en distintos resultados, como la revelación de información, una denegación de servicio o, en las condiciones indicadas por Broadcom, la ejecución arbitraria de código.

Broadcom ha señalado que un atacante con acceso de red a SDDC Manager podría llegar a ejecutar código arbitrario. La condición de acceso de red es relevante para la evaluación del riesgo: las organizaciones deben revisar la exposición de sus instancias afectadas y aplicar la mitigación correspondiente.

Impacto y nivel de riesgo

La explotación de CVE-2026-111497 podría permitir a un atacante enviar datos Brotli manipulados para afectar al procesamiento de solicitudes en SDDC Manager. Entre los impactos potenciales se incluyen:

• Corrupción de memoria.
• Revelación de información.
• Denegación de servicio.
• Ejecución arbitraria de código en SDDC Manager.

La alerta está clasificada con severidad crítica. Broadcom considera crítico el impacto en SDDC Manager 9.1.1.x y alto en las demás versiones afectadas indicadas.

La explotación de la vulnerabilidad de Brotli está confirmada, pero no hay confirmación de explotación contra instalaciones de SDDC Manager. Esta distinción implica que el riesgo debe tratarse con prioridad, sin afirmar que existan compromisos conocidos de este producto.

Solución y medidas recomendadas

En el momento de la alerta, los parches permanecen pendientes. Broadcom ha publicado medidas temporales oficiales que deben aplicarse tras realizar una copia de seguridad y siguiendo íntegramente las comprobaciones y reinicios requeridos.

• SDDC Manager 9.1.1.x: aplicar las instrucciones de KB460732, que bloquean cuerpos de peticiones Brotli en nginx y en el servicio de la interfaz.
• SDDC Manager 5.2.4, 9.0.2 y 9.1.0: aplicar las instrucciones de KB460734, que deshabilitan el descompresor Brotli utilizado por el servicio de la interfaz.

Para otras versiones afectadas, Broadcom recomienda confirmar con soporte la aplicabilidad de las medidas temporales. La disponibilidad de correcciones definitivas debe consultarse en el boletín VMSA-2026-0008.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de VMware Cloud Foundation y VMware vSphere Foundation que utilicen las versiones afectadas de SDDC Manager.
2. Priorizar SDDC Manager 9.1.1.x, para el que Broadcom asigna un impacto crítico.
3. Realizar una copia de seguridad antes de implementar las mitigaciones oficiales.
4. Aplicar la medida temporal correspondiente a la versión instalada y completar las validaciones y reinicios indicados por Broadcom.
5. Revisar qué sistemas disponen de acceso de red a SDDC Manager, dado que Broadcom identifica este acceso como condición para una posible ejecución arbitraria de código.
6. Consultar el boletín VMSA-2026-0008 para conocer la publicación de parches definitivos y planificar su despliegue cuando estén disponibles.