Broadcom VMWare ESX Insufficient Logging Vulnerability

VMware ESX memiliki kerentanan logging yang tidak memadai. Seorang administrator berbahaya dapat mengeksploitasi masalah ini untuk melakukan operasi tertentu tanpa operasi tersebut dicatat.

Celah ini memengaruhi kemampuan organisasi membangun jejak audit yang andal di VMware ESX / Esxi. Penyerang dengan hak tinggi dan autentikasi yang sudah ada dapat melakukan operasi tertentu tanpa tercatat, sehingga integritas catatan keamanan menurun dan proses investigasi insiden menjadi lebih sulit. Dampak langsung pada kerahasiaan dan ketersediaan tidak disebutkan, tetapi hilangnya logging dapat menutupi aktivitas penyalahgunaan, mempersulit deteksi pergerakan lanjutan, dan menghambat pembuktian kepatuhan saat audit internal maupun eksternal.

Risiko operasional meningkat karena CVSS 3.1 menempatkan celah ini pada skor 2.7 dengan dampak integritas rendah, namun status KEV menunjukkan eksploitasi aktif. EPSS 0.00689 menunjukkan peluang eksploitasi yang terukur tetap ada, sehingga kontrol pemantauan dan respons insiden tidak boleh bergantung pada logging yang utuh. Prioritaskan patch atau mitigasi secepatnya pada semua aset terdampak, terutama yang terekspos internet.

Akar masalah

Kerentanan ini adalah insufficient logging pada Vmware Esxi dan dipetakan ke CWE-778. Artinya, ada operasi tertentu yang dapat dilakukan tanpa tercatat dengan memadai. Berdasarkan deskripsi, malicious administrator dapat menjalankan operasi tertentu tanpa log yang merekamnya.

Kondisi yang dibutuhkan

Pemicu celah ini memerlukan pengguna dengan hak administratif yang jahat atau telah disalahgunakan. Data sumber menyebutkan malicious administrator, sehingga celah ini tidak menggambarkan skenario tanpa autentikasi. Dampaknya adalah aktivitas tertentu dapat terjadi tanpa pencatatan yang memadai, sehingga jejak audit berkurang.

Arti metrik CVSS utama

• Attack Vector: N berarti serangan dapat dilakukan melalui jaringan.
• Attack Complexity: L berarti kondisi untuk memicu celah relatif tidak rumit.
• Privileges Required: H berarti penyerang harus memiliki hak istimewa tinggi.
• User Interaction: N berarti tidak memerlukan interaksi pengguna lain.

Implikasi teknis

Dampak utama bukan eksekusi kode, melainkan berkurangnya visibilitas dan akuntabilitas atas operasi tertentu. Hal ini dapat menyulitkan investigasi dan forensics karena aktivitas tidak tercatat sebagaimana mestinya.

Rekomendasi CISA: Terapkan mitigasi sesuai dengan instruksi vendor, dengan memastikan kepatuhan terhadap panduan CISA BOD 26-04 Prioritizing Security Updates Based on Risk (lihat URL di Notes) dan CISA’s “Forensics Triage Requirements” (lihat URL di Notes). Ikuti panduan BOD 26-04 yang berlaku untuk cloud services atau hentikan penggunaan produk jika mitigasi tidak tersedia. Para pemangku kepentingan bertanggung jawab untuk mengevaluasi eksposur internet setiap aset dan memastikan kepatuhan terhadap panduan patching BOD 26-04.

Deteksi & hunting

• Inventarisasi seluruh aset Vmware Esxi yang terpasang.
• Verifikasi versi yang terdampak: esxi ≥ 9.0.0, < 9.0.2.0100 dan esxi 8.0.
• Periksa log audit atau log operasional yang relevan untuk memastikan aktivitas administratif penting tercatat dengan benar.
• Cari anomali berupa operasi administratif yang semestinya menghasilkan pencatatan, tetapi tidak muncul pada log.
• Tinjau perubahan konfigurasi atau aktivitas administratif yang tidak selaras dengan riwayat pencatatan yang tersedia.
• Prioritaskan pemeriksaan pada aset dengan paparan internet, sesuai rujukan CISA dan vendor.
• Gunakan referensi resmi untuk verifikasi lanjutan dan rujukan IoC bila tersedia: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017, https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-41709, https://github.com/advisories/GHSA-vpqj-56x2-gp9p, https://nvd.nist.gov/vuln/detail/CVE-2026-41709.