[TLP:CLEAR] VMware opravuje 3 zranitelnosti v produktech VMware ESXi, Workstation a Fusion
VMware opravuje 1 kritickou a 2 vysoce závažné zranitelnosti ve svých produktech VMware ESXi, Workstation a Fusion [1]. Zranitelné produkty a jejich opravy: VMware ESXi - ESXi80U3d-24585383, ESXi80U2d-24585300, ESXi70U3s-24585291 [1] VMware Workstation - 17.6.3 [1] VMware Fusion - 13.6.3 [1] Postup opravy pro produkty v rámci cloudových platforem VMware Cloud Foundation a Telco Cloud Platform jsou k dispozici na [2][3].
Neautentizovanému lokálnímu útočníkovi s administrátorskými oprávněními na virtuálním stroji je v produktech VMware ESXi a Workstation umožněno vykonat kód jako proces VMX virtuálního stroje běžícího na hostiteli [1].
Zranitelnost se nachází v produktech:
- VMware ESXi ve verzích (=8.0) OR (=7.0)
- VMware Workstation ve verzích >=17.0 AND <17.6.3
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-22224 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition at cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 3. 2025.
Autentizovanému lokálnímu útočníkovi s oprávněními v rámci procesu VMX je v produktu VMware ESXi umožněno vyvolat libovolný zápis do jádra, což může vést k úniku ze sandboxu [1].
Zranitelnost se nachází v produktu VMware ESXi ve verzích (=8.0) OR (=7.0).
CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-22225 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-123: Write-what-where Condition at cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 3. 2025.
Neautentizovanému lokálnímu útočníkovi s administrátorskými oprávněními na virtuálním stroji je v produktech VMware ESXi, Workstation a Fusion umožněno způsobit únik paměti z procesu VMX [1].
Zranitelnost se nachází v produktech:
- VMware ESXi ve verzích (=8.0) OR (=7.0)
- VMware Workstation ve verzích >=17.0 AND <17.6.3
- VMware Fusion ve verzích >=13.0 AND <13.6.3
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Více informací:
- CVE-2025-22226 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-125: Out-of-bounds Read at cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 3. 2025.
Odkazy
Za CESNET-CERTS Michaela Jarošová dne 5. 3. 2025.
