VMware retter kritiske 0-dagssårbarheder i ESXi, Workstation og Fusion

VMware har udsendt sikkerhedsopdateringer, der adresserer tre kritiske 0-dagssårbarheder i deres ESXi-, Workstation- og Fusionprodukter. Sårbarhederne er blevet aktivt udnyttet i angreb. Det skriver InfoSecurity Magazine.

De tre sårbarheder er følgende:

• CVE-2025-22224: En heap overflow sårbarhed i Virtual Machine Communication Interface (VMCI) i VMware ESXi og Workstation. Sårbarheden har en CVSS-score på 9,3 og kan udnyttes af en ondsindet aktør med lokale administrative rettigheder på en virtuel maskine til at udføre kode som VMX-processen på værten. 
• CVE-2025-22225: En vilkårlig skrive-sårbarhed i VMware ESXi med en CVSS-score på 8,2. Denne sårbarhed tillader en aktør med privilegier inden for VMX-processen at udføre vilkårlige kerneskrivninger, hvilket kan føre til en undvigelse af "sandkassen". 
• CVE-2025-22226: En information leakage-sårbarhed i host-guest filsystemet (HGFS) i VMware ESXi, Workstation og Fusion. Med en CVSS-score på 7,1 kan denne sårbarhed udnyttes af en aktør med administrative rettigheder på en virtuel maskine til at lække hukommelse fra VMX-processen.  

Udnyttelse af disse sårbarheder kan med andre ord føre til, at en angriber, der allerede har kompromitteret en virtuel maskines gæsteoperativsystem og opnået privilegeret adgang, kan kompromittere hypervisoren. Dette kan potentielt give adgang til andre virtuelle maskiner på samme vært.

De berørte systemer er følgende

• VMware ESXi
• VMware Workstation
• VMware Fusion

VMware opfordrer alle brugere af de berørte produkter til straks at anvende de tilgængelige sikkerhedsopdateringer for at beskytte mod potentiel udnyttelse af disse sårbarheder. Der er ingen kendte løsninger eller alternative afhjælpninger, så opdatering er den eneste effektive beskyttelse.  

For yderligere information og detaljerede opdateringsinstruktioner henvises til VMwares officielle sikkerhedsmeddelelse.