Broadcom heeft drie actief misbruikte zerodays in VMware gedicht met een patch. Aanvallers kunnen via de kwetsbaarheden vanuit een virtual machine toegang krijgen tot de onderliggende hypervisor.
De kwetsbaarheden hebben impact op VMware ESXi, Workstation en Fusion, zegt Broadcom op zijn website. Voor alle getroffen producten zijn patches uitgebracht. Een workaround is niet beschikbaar, Broadcom adviseert de patches direct te installeren. Op de website staat per softwareversie beschreven naar welke versie geüpdatet moet worden.
De meest kritieke kwetsbaarheid is CVE-2025-22224, die qua ernst wordt ingeschaald op een 9,3 op een schaal van 10. Deze fout is een kritieke VMCI heap overflow-kwetsbaarheid die VMware ESXi en Workstation treft. Via de fout kan een aanvaller met lokale beheerdersrechten vanuit een virtuele machine code op de onderliggende host kan uitvoeren.
CVE-2025-22225 treft VMware ESXI en maakt het mogelijk om uit de sandbox-beveiliging van de software te breken. Ook deze fout is kritiek en krijgt een score van 8,2. De derde en laatste fout, CVE-2025-22226, wordt qua ernst ingeschaald op 7,1. Deze fout laat aanvallers met beheerdersrechten voor een virtuele machine geheugen lekken uit het VMX-proces.
Source: Tweakers.net