Broadcom 4. marca 2025 zverejnil upozornenie na tri chyby v niekoľkých produktoch VMware, ktoré boli využívané ako zero-days (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226). Organizáciám sa odporúča použiť dostupné záplaty.
CVE-2025-22224 je zraniteľnosť typu „heap-overflow“, ktorá ovplyvňuje ESXI a Workstation a má skóre CVSSv3 9,3. Útočník s oprávneniami lokálneho správcu na virtuálnom počítači môže zneužiť túto chybu zabezpečenia na spustenie kódu, keď je na hostiteľovi spustený proces VMX.
CVE-2025-22225: Chyba zabezpečenia náhodného zápisu VMware ESXi
Zraniteľnosť má dôležité hodnotenie závažnosti so skóre CVSS 8,2. svojvoľná zraniteľnosť zápisu ovplyvňuje VMware ESXi. Útočník s oprávneniami v rámci procesu VMX môže spustiť ľubovoľný zápis jadra, ktorý vedie k úniku z karantény.
CVE-2025-22226: Chyba zabezpečenia HGFS v súvislosti s odhalením informácií
Zraniteľnosť týkajúca sa sprístupnenia informácií pochádza z čítania mimo rámec HGFS a ovplyvňuje VMware ESXi, Workstation a Fusion. Útočník s oprávneniami správcu virtuálneho počítača môže zneužiť túto zraniteľnosť na únik pamäte z procesu VMX.
Problémy ovplyvňujú VMware ESX, ako aj všetky produkty, ktoré zahŕňajú ESX, ako napríklad VMware vSphere, VMware Cloud Foundation a VMware Telco Cloud Platform. Organizácie používajúce neopravené verzie týchto produktov sú preto ohrozené.
Ovplyvnené verzie:
- VMware ESXi 7.0
- VMware ESXi 8.0 2D
- VMware ESXi 8.0 3D
- VMware Fusion 13.x
- VMware Workstation 17.x
Ďalšie informácie je možné nájsť na stránkach:
https://socradar.io/vmware-security-zero-day-cve-2025-22224-cve-2025-22225-and-cve-2025-22226