Nutanix corrige un bypass preauth de Prism Element en AOS

Nutanix publicó el 15 de octubre el Security Advisory 0058 para CVE-2026-84731, un bypass de autenticación previo al inicio de sesión en Prism Gateway, componente de AOS usado por la administración de Prism Element. El registro asigna CVSS 3.1 de 9.8 y CVSS 4.0 de 9.3, ambos críticos. Un atacante remoto sin credenciales podría alcanzar las API administrativas si tiene conectividad al puerto de gestión 9440 y explota la validación incorrecta de una cabecera HTTP interna.

La cabecera que se convierte en sesión

El fallo está en los filtros de autenticación de la aplicación: una petición especialmente construida puede ser tratada como una llamada interna de gestión. El registro CVE, asignado por Nutanix, describe que el servidor puede responder con una cookie JSESSIONID válida que decodifica a un JWT con privilegios administrativos máximos. El límite de confianza entre petición externa y llamada interna es donde se rompe el control; no hace falta que el atacante robe antes una contraseña de administrador.

Con ese nivel de acceso, Nutanix describe la posibilidad de ejecutar comandos como root en las Controller VMs (CVM) del clúster, con impacto sobre los propios nodos de control y acceso no autorizado a memoria y discos virtuales. Es un escenario severo de compromiso de la plataforma, pero la puntuación no significa que todos los clústeres estén expuestos: importan la versión de AOS y, sobre todo, qué redes pueden alcanzar Prism Element por el puerto 9440.

-InfraCrew dice: La interfaz de administración puede estar detrás de una IP privada y seguir siendo alcanzable desde una red interna demasiado generosa.-

La configuración de aplicabilidad del CVE identifica como condición de exposición que el puerto de administración esté accesible desde Internet o una red abierta, sin un firewall que bloquee las peticiones maliciosas. Una dirección no pública no es por sí sola una política de acceso: un segmento de usuarios, una VPN amplia o una ruta heredada pueden dar conectividad a la misma interfaz. Por eso conviene revisar los saltos reales hasta el puerto, no solo la tabla de direcciones del clúster.

Versiones afectadas y correcciones

El aviso contempla Prism Gateway dentro de AOS. Están afectadas las versiones anteriores a 7.3.1.18, la rama 7.5 anterior a 7.5.2 y la rama 7.6 anterior a 7.6.0.8. Las versiones corregidas son 7.3.1.18, 7.5.2 y 7.6.0.8; no hay que intercambiar números entre ramas ni asumir que instalar una actualización de Prism Central corrige automáticamente el AOS del clúster.

Nutanix había integrado las correcciones en las versiones de mantenimiento antes de publicar el advisory. El registro del CVE indica que se validó una prueba de concepto durante la divulgación responsable. Eso confirma que el mecanismo fue reproducido en ese proceso, pero no demuestra explotación activa contra instalaciones de clientes ni una campaña pública. La urgencia viene de la combinación de acceso remoto, ausencia de autenticación e impacto administrativo, no de adjudicar al incidente una explotación que las fuentes no confirman.

-InfraCrew dice: Un PoC validado por el fabricante cambia la conversación sobre reproducibilidad; no aporta por sí solo una lista de víctimas.-

Mientras se prepara la actualización, Nutanix recomienda restringir el puerto 9440 a VLAN de administración dedicadas, jump hosts o rangos IP autorizados. El registro CNA también menciona filtrar cabeceras internas con un WAF o proxy inverso, pero la cadena exacta se entrega mediante Support a clientes verificados. No inventes el nombre de la cabecera ni despliegues un filtro a ciegas: aplica primero la segmentación de red y consulta a Nutanix antes de desplegar cualquier filtro de cabecera si no puedes parchear de inmediato.

Comprobación por clúster

Inventaría cada clúster, versión y rama, y confirma qué redes tienen ruta al 9440. Actualiza a la versión corregida aplicable siguiendo la guía de Nutanix y valida después que Prism Element y las API administrativas responden desde las estaciones de gestión autorizadas. Una comprobación externa que falla no acredita segmentación interna; revisa también las rutas entre VLAN, los saltos de acceso remoto y los registros de firewall.

Si un clúster expuesto estaba en una versión afectada, conserva registros de acceso y revisa sesiones administrativas y actividad en las CVM desde la ventana pertinente. La recomendación no presupone que haya intrusión: es una comprobación proporcional al nivel de acceso que permitiría el fallo. Deja constancia de versión, reglas de red y resultado para que el siguiente turno no tenga que reconstruir el perímetro desde capturas de pantalla.

Diccionario de la Crew

Prism Gateway — Componente de AOS que atiende funciones de administración usadas por Prism Element.
JWT — Token firmado que transporta identidad y permisos entre servicios.
CVM — Máquina virtual de control de Nutanix que ejecuta servicios de gestión del clúster.