Steven LafortuneIl 4 marzo, Broadcom ha emesso un allarme di sicurezza urgente esortando alcuni clienti VMware a installare immediatamente un aggiornamento. L’avviso arriva dopo che sono stati individuati tre bug zero-day critici in diversi prodotti, che vengono attivamente sfruttati. Di seguito sono riportati i dettagli delle vulnerabilità, i prodotti e le versioni interessate, e le correzioni disponibili.
Informazioni sulle vulnerabilità
Le vulnerabilità, denominate collettivamente “ESXicape”, sono state scoperte dai ricercatori del MSTIC, che le hanno poi segnalate a Broadcom. Ecco come gli aggressori potrebbero sfruttare questi bug nel mondo reale:
- Accesso iniziale: gli aggressori possono ottenere l’accesso a una macchina virtuale con privilegi bassi tramite credenziali rubate, phishing o politiche di autenticazione deboli.
- Escalation dei privilegi e fuga dalla VM: sfruttando le vulnerabilità (in particolare la CVE-2025-22224 descritta di seguito) l’aggressore può uscire dalla VM e accedere all’hypervisor sottostante.
- Movimento laterale: una volta all’interno, l’aggressore può spostarsi verso altre macchine virtuali in esecuzione sullo stesso host ed esfiltrare dati sensibili.
- Persistenza: l’aggressore potrebbe distribuire backdoor o malware per mantenere il controllo a lungo termine dell’infrastruttura.
Identificatori
Le vulnerabilità sono monitorate con i seguenti identificatori:
| Identificatore | Prodotti interessati | Minaccia | CVSS |
|---|---|---|---|
| CVE-2025-22224 | VMware ESXi, VMware Workstation | Contiene una vulnerabilità di tipo Time-of-Check Time-of-Use (TOCTOU) che causa una scrittura fuori dai limiti. | Intervallo di gravità critica con un punteggio base CVSSv3 massimo di 9,3 |
| CVE-2025-22225 | VMware ESXi | Contiene una vulnerabilità di scrittura arbitraria. | Intervallo di gravità importante con un punteggio base CVSSv3 massimo di 8,2 |
| CVE-2025-22226 | VMware ESXi, VMware Workstation, VMware Fusion | Contiene una vulnerabilità di divulgazione di informazioni dovuta a una lettura fuori dai limiti nel Host Guest File System (HGFS). | Intervallo di gravità importante con un punteggio base CVSSv3 massimo di 7,1 |
Versioni
Broadcom ha confermato che le seguenti versioni dei prodotti, eseguite su qualsiasi macchina, sono vulnerabili:
- Versioni VMware ESXi: 8.0; 7.0.
- Versioni VMware Workstation: 17.x
- VMware Fusion: 13.x
- VMware Cloud Foundation: 5.x; 4.5x
- VMware Telco Cloud Platform: 5.x; 4.x; 3.x; 2.x
- VMware Telco Cloud Infrastructure: 3.x; 2.x
Attacchi attivi
Secondo un rapporto, le vulnerabilità vengono attivamente sfruttate da un gruppo ransomware ancora non identificato. Broadcom ha inoltre confermato di disporre di “informazioni che suggeriscono che lo sfruttamento di questi problemi è già avvenuto in condizioni reali”. Tuttavia, ad oggi l’azienda non ha rivelato dettagli sulla natura degli attacchi né sull’identità degli attori delle minacce.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto le tre vulnerabilità zero-day al proprio catalogo Known Exploited Vulnerabilities (KEV), ordinando a tutte le agenzie civili federali di applicare la patch entro il 25 marzo 2025.
Correzioni
Broadcom ha dichiarato che non sono disponibili soluzioni alternative. Pertanto, si consiglia ai clienti interessati di scaricare e installare immediatamente le versioni corrette dal sito web dell’azienda. Sono disponibili anche documentazione aggiuntiva, comprese le FAQ e i riferimenti.
Approfondimenti e consigli di Patrick Pilotte, Information Security Manager di Devolutions
In un mondo perfetto, le vulnerabilità zero-day non esisterebbero. Purtroppo, questa aspettativa non è realistica. Per questo motivo, riteniamo che tutti i fornitori — compresi quelli che già svolgono test rigorosi e attività di red teaming — dovrebbero gestire un programma di Bug Bounty. In Devolutions, il nostro programma incoraggia e incentiva i ricercatori a tentare di “attaccare e violare” i nostri prodotti, in modo da poter identificare e correggere proattivamente le vulnerabilità.
Inoltre, le soluzioni di sicurezza di Devolutions possono aiutare le organizzazioni a ridurre il rischio e l’impatto delle vulnerabilità zero-day:
- Devolutions Server - Gestione avanzata degli accessi privilegiati (PAM)
◦ Limita i privilegi amministrativi solo agli utenti autorizzati, riducendo la superficie di attacco. ◦ Monitora e verifica l’attività degli utenti privilegiati in tempo reale, aiutando le organizzazioni a rilevare rapidamente e rispondere a comportamenti non autorizzati o sospetti. ◦ Attenua i rischi legati alle CVE (incluse quelle relative ai prodotti VMware) proteggendo l’account amministrativo nel PAM.
- Devolutions Cloud - Gestione sicura delle credenziali
◦ Previene gli accessi non autorizzati applicando l’archiviazione centralizzata e crittografata delle credenziali. ◦ Migliora la sicurezza con la rotazione automatica delle password, riducendo i rischi associati alle credenziali compromesse.
- Devolutions Gateway - Accesso remoto sicuro
◦ Offre un approccio zero-trust all’accesso remoto, impedendo il movimento laterale in caso di VM compromessa. ◦ L’isolamento delle sessioni garantisce che, anche in caso di violazione di una macchina virtuale, gli aggressori non possano facilmente spostarsi verso altri sistemi interni. ◦ Attenua i rischi quando installato sul vCenter Server (se ospitato su Windows) per controllare l’accesso a vCenter.
Conclusione
VMware occupa una posizione dominante nel mercato della virtualizzazione. Purtroppo, questa popolarità lo rende anche un obiettivo primario per i malintenzionati in cerca di una chiave universale per infiltrarsi in numerosi account e macchine. Si stima che 85.000 aziende in tutto il mondo, comprese molte piccole e medie imprese, utilizzino VMware come strumento di virtualizzazione.
Le organizzazioni non dovrebbero adottare un approccio passivo e aspettare il prossimo bollettino di sicurezza urgente da parte di Broadcom, che per loro potrebbe arrivare troppo tardi. Dovrebbero invece essere proattive e implementare soluzioni che riducano il rischio di accessi non autorizzati, rafforzando al contempo la gestione complessiva delle credenziali. Si tratta di un investimento intelligente e strategico nel proprio profilo di sicurezza, e considerati i costi potenzialmente catastrofici di una violazione, potrebbe rivelarsi un fattore determinante per la loro sopravvivenza a lungo termine.