Mehrere kritische Sicherheitslücken in VMware-Produkten

Da kann ein🦊 nur den Kopf schütteln...

Glücklicherweise haben wir VMware kurz nach der Broadcom-Übernahme den Rücken gekehrt.

CVSS-Score 6.3 - 9.2

support.broadcom.com/web/ecx/support-content-notification/-/exte ...
heise.de/en/news/VMware-patches-some-critical-security-vulnerabi ...

Unter Anderem dabei: VM-Escape 🚀

Betroffene Systeme:

VMware Cloud Foundation < ESXi70U3w-24784741
VMware Cloud Foundation < ESXi80U3f-24784735
VMware ESXi < ESXi70U3w-24784741
VMware ESXi < ESXi80U2e-24789317
VMware ESXi < ESXi80U3f-24784735
VMware Fusion < 13.6.4
VMware Tools Windows < 12.5.3
VMware Tools Windows < 13.0.1.0
VMware vSphere Foundation ESX < ESXi-9.0.0.0100-24813472
VMware Workstation < 17.6.4

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 673893

Url: https://administrator.de/info/vmware-sicherheitsluecken-vm-escape-kritisch-673893.html

Ausgedruckt am: 17.07.2025 um 21:07 Uhr

13 Kommentare

Neuester Kommentar

Ich war schneller

:

VMSA-2025-0013: VMware ESXi, Workstation, Fusion, and Tools updates address multiple vulnerabilities vom 16.07.2025

Mist! Und ich wollte eine Serie an Sicherheitslücken-Posts starten 😅🦊
Kann dann gerne gelöscht werden, selber kann man das wohl nicht.

Wenn ihr schon ein "Re-Post" einer Meldung macht, dann gebt mehr Infos darüber.

Zitat:

Known Attack Vectors:
A malicious actor with local administrative privileges on a virtual machine with VMXNET3 virtual network adapter may exploit this issue to execute code on the host. Non VMXNET3 virtual adapters are not affected by this issue.

Für meine vSphere Infrastruktur irrelevant. Kein User hat Adminrechte auf den VMs.

Und was, wenn sich einer z.B. durch einen Bug in Windows oder beliebiger anderer Software welche verschafft? Viele Angriffe basieren nicht auf einzelnen Sicherheitslücken, sondern auf exploit chains, wobei mehrere Lücken verwendet werden. Lokale privilegue escalation vulns gibt es andauernd, mit denen man sich lokale SYSTEM/adminstratorrechte verschaffen kann...

"Ich muss meinen kaputten Gurt nicht reparieren, ich habe einen Airbag"-Logik

@CamelCase Nope - wird nicht passieren. Kein User, und hier ist die Betonung auf End-User, darf sich in irgendeiner Form direkt an den VMs anmelden. Ausnahme ist hier der RDS-Pool (Remote-App / Deskop) mit eingeschränktem Zugriff als normaler Benutzer auf Apps.

Ein User ist kein "malicious actor". Da müsste schon seeeeehr viel schief gehen, Sicherheitsmaßnahmen ausgeschaltet werden, damit dieser Angreifer einen User-Account missbraucht, um über den RDS-Pool vSphere zu erreichen.

Ein User ist kein "malicious actor"

Wird aber schnell unbewusst zu einem, indem er per Email ein Dokument mit Makro oder anderweitig maliziösem Anhang öffnet, welches mit den normalen User-Rechten im Remotedesktop ausgeführt wird, was wiederum über eine bisher nicht bekannte Lücke zu NT-AUTHORITY\SYSTEM eskaliert, und schon ist der Angreifer mit der hier geposteten VMware Lücke auf deinem VM-Host.

Klar ist dein Risiko reduziert - aber nicht 0. Wie du selbst sagst: "Da müsste schon seeeeehr viel schief gehen" - hältst du es für unmöglich? Ich nicht.

Genau, schöne IT-Märchen. In einer Hinterhof-IT-Bude mag das vielleicht passieren. Dein Beispiel mit dem Anhang in einer Mail erfordert entweder null Schutz auf allen Ebenen des Transports/Empfangs oder ein Totalversagen aller Systeme.

Zitat von @DerMaddin:

Genau, schöne IT-Märchen. In einer Hinterhof-IT-Bude mag das vielleicht passieren. Dein Beispiel mit dem Anhang in einer Mail erfordert entweder null Schutz auf allen Ebenen des Transports/Empfangs oder ein Totalversagen aller Systeme.

Und sowas kommt ja heutzutage nirgends vor, gell...

Zitat von @michi1983:

Und sowas kommt ja heutzutage nirgends vor, gell...

Nicht da, wo ich mitverantwortlich oder 100% verantwortlich war für die IT-Infrastruktur. Ich spreche nur für IT-Systeme, für die ich verantwortlich bin, nicht für andere.

Mit den mir zur Verfügung stehenden Mitteln, kann ich guten Gewissen behaupten, dass ein externer Angriffsvektor nahezu null Chance hat. Dies müsste schon gezielt auf einen bestimmten User sein, der User "dumm" genug, um darauf rein zu fallen, alle vorhandenen Schutzmaßnahmen versagen und alle Admins die Meldungen im vCenter ignorieren.