Steven LafortuneDen 4. marts udsendte Broadcom en akut sikkerhedsadvarsel, der opfordrede nogle VMware-kunder til straks at installere en opdatering. Advarslen kommer, efter at tre kritiske nul-dags-fejl er fundet i flere produkter og udnyttes aktivt. Detaljer om sårbarhederne, berørte produkter og versioner samt rettelser står nedenfor.
Om sårbarhederne
Sårbarhederne, som samlet er blevet døbt “ESXicape”, blev opdaget af forskere hos MSTIC, som derefter rapporterede dem til Broadcom. Sådan kan angribere udnytte fejlene i praksis:
- Første adgang: Angribere kan få adgang til en virtuel maskine med lave privilegier via stjålne legitimationsoplysninger, phishing eller svage godkendelsespolitikker.
- Privilegierettighedsforhøjelse og VM-escape: Udnyttelse af sårbarhederne (især CVE-2025-22224, som beskrevet nedenfor) lader angriberen bryde ud af den virtuelle maskine og tilgå den underliggende hypervisor.
- Lateral bevægelse: Når angriberen er inde, kan vedkommende bevæge sig videre til andre virtuelle maskiner, der kører på den samme vært, og udfiltrere følsomme data.
- Vedholdenhed: Angriberen kan udrulle bagdøre eller malware for at bevare langvarig kontrol over infrastrukturen.
Identifikatorer
Sårbarhederne spores under følgende identifikatorer:
| Identifikator | Berørte produkter | Trussel | CVSS |
|---|---|---|---|
| CVE-2025-22224 | VMware ESXi, VMware Workstation | Indeholder en Time-of-Check Time-of-Use-sårbarhed (TOCTOU), der fører til en skrivning uden for det tildelte område. | Kritisk alvorlighedsinterval med en maksimal CVSSv3-basisscore på 9,3 |
| CVE-2025-22225 | VMware ESXi | Indeholder en sårbarhed med vilkårlig skrivning. | Vigtigt alvorlighedsinterval med en maksimal CVSSv3-basisscore på 8,2 |
| CVE-2025-22226 | VMware ESXi, VMware Workstation, VMware Fusion | Indeholder en sårbarhed med afsløring af oplysninger på grund af en læsning uden for det tildelte område i Host Guest File System (HGFS). | Vigtigt alvorlighedsinterval med en maksimal CVSSv3-basisscore på 7,1 |
Versioner
Broadcom har bekræftet, at følgende produktversioner, der kører på en hvilken som helst maskine, er sårbare:
- VMware ESXi-versioner: 8.0; 7.0.
- VMware Workstation-versioner: 17.x
- VMware Fusion: 13.x
- VMware Cloud Foundation: 5.x; 4.5x
- VMware Telco Cloud Platform: 5.x; 4.x; 3.x; 2.x
- VMware Telco Cloud Infrastructure: 3.x; 2.x
Aktive angreb
Ifølge en rapport udnyttes sårbarhederne aktivt af en endnu unavngiven ransomware-gruppe. Broadcom har også erkendt, at virksomheden har “oplysninger, der tyder på, at udnyttelse af disse problemer er sket i det fri.” Indtil videre har virksomheden dog ikke offentliggjort detaljer om angrebenes karakter eller trusselsaktørernes identitet.
Den amerikanske Cybersecurity and Infrastructure Security Agency (CISA) har føjet de tre nul-dags-sårbarheder til sit katalog over kendte udnyttede sårbarheder (KEV) og beordret alle føderale civile myndigheder til at installere rettelsen senest den 25. marts 2025.
Rettelser
Broadcom har oplyst, at der ikke findes workarounds. Berørte kunder rådes derfor til straks at downloade og installere de rettede versioner fra virksomhedens websted. Yderligere dokumentation, herunder FAQ og henvisninger, er også tilgængelig.
Indsigt og råd fra Devolutions’ informationssikkerhedschef Patrick Pilotte
I en perfekt verden ville nul-dage ikke findes. Det er desværre ikke en realistisk forventning. Derfor mener vi, at alle leverandører — også dem, der allerede tester grundigt og kører red team-øvelser — bør have et bug bounty-program. Hos Devolutions opfordrer og belønner vores program forskere, der prøver at “angribe og bryde” vores produkter, så vi proaktivt kan finde og rette sårbarheder.
Derudover kan Devolutions’ sikkerhedsløsninger hjælpe organisationer med at mindske risikoen og konsekvenserne af nul-dags-sårbarheder:
- Devolutions Server – forbedret privilegeret adgangsstyring (PAM)
◦ Begrænser administrative privilegier til kun autoriserede brugere og mindsker angrebsfladen. ◦ Overvåger og reviderer privilegeret brugeraktivitet i realtid og hjælper organisationer med hurtigt at opdage og reagere på uautoriseret eller mistænkelig adfærd. ◦ Mindsker risici fra CVE’er (herunder dem, der vedrører VMware-produkterne) ved at beskytte administratorkontoen i PAM.
- Devolutions Cloud – sikker administration af legitimationsoplysninger
◦ Forhindrer uautoriseret adgang ved at håndhæve central, krypteret opbevaring af legitimationsoplysninger. ◦ Styrker sikkerheden med automatisk rotation af adgangskoder og mindsker de risici, der følger af kompromitterede legitimationsoplysninger.
- Devolutions Gateway – sikker fjernadgang
◦ Giver en zero trust-tilgang til fjernadgang og forhindrer lateral bevægelse, hvis en virtuel maskine kompromitteres. ◦ Sessionsisolering sikrer, at angribere ikke nemt kan bevæge sig videre til andre interne systemer, selv hvis en virtuel maskine brydes. ◦ Mindsker risici, når den er installeret på vCenter Server (hvis den kører på Windows), så adgangen til vCenter kan styres.
Det sidste ord
VMware har en dominerende position på virtualiseringsmarkedet. Den popularitet gør desværre også VMware til et oplagt mål for ondsindede aktører, der leder efter en hovednøgle til at trænge ind i talrige konti og maskiner. Anslået 85.000 virksomheder verden over, herunder mange små og mellemstore virksomheder, bruger VMware som virtualiseringsværktøj.
Organisationer bør ikke forholde sig passive og vente på den næste akutte sikkerhedsmeddelelse fra Broadcom — som for dem kan komme for sent. De bør i stedet være proaktive og indføre løsninger, der mindsker risikoen for uautoriseret adgang og samtidig styrker den samlede administration af legitimationsoplysninger. Det er en klog og strategisk investering i deres sikkerhedsprofil, og i lyset af de potentielt katastrofale omkostninger ved et brud kan det være afgørende for deres overlevelse på lang sigt.