Woensdag 12 maart 2025
VMware ESXi Hypervisor Escape
Broadcom publiceerde op 3 maart een beveiligingsbulletin met daarin 3 VMware ESXi kwetsbaarheden:
-
CVE-2025-22224 (CVSS v3.1: 9.3 [Kritiek]) is een VMCI heap-overflow-kwetsbaarheid waarmee lokale aanvallers met beheerdersrechten in een VM kunnen ontsnappen en opdrachten op de hypervisor host kunnen uitvoeren.
-
CVE-2025-22225 (CVSS v3.1: 8.2 [Hoog]) is een VMware ESXi-kwetsbaarheid voor willekeurige schrijfbewerkingen waarmee lokale aanvallers met beheerdersrechten in een VM kunnen ontsnappen en opdrachten op de hypervisor host kunnen uitvoeren.
-
CVE-2025-22226 (CVSS v3.1: 7.1 [Hoog]) is een HGFS-kwetsbaarheid voor openbaarmaking van informatie.
De de nieuwste threat intelligence van The Shadowserver Foundation laat zien dat bedrijven vooruitgang boeken met het patchen van deze kwetsbaarheden. Op 6 maart waren er 41.000 kwetsbaarheden. Op 11 maart waren er wereldwijd 35.565 kwetsbaarheden. In Europa waren er 9-10.000 kwetsbaarheden.
Betrokken Producten
| VMware Product | Version | Running On | CVE | CVSSv3 | Severity | Fixed Version | Workarounds | Additional Documentation |
| VMware ESXi | 8.0 | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | ESXi80U3d-24585383 | None | FAQ |
| VMware ESXi | 8.0 | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | ESXi80U2d-24585300 | None | FAQ |
| VMware ESXi | 7.0 | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | ESXi70U3s-24585291 | None | FAQ |
| VMware Workstation | 17.x | Any | CVE-2025-22224, CVE-2025-22226 | 9.3, 7.1 | Critical | 17.6.3 | None | FAQ |
| VMware Fusion | 13.x | Any | CVE-2025-22226 | 7.1 | Important | 13.6.3 | None | FAQ |
| VMware Cloud Foundation | 5.x | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | Async patch to ESXi80U3d-24585383 | None | Async Patching Guide: KB88287 |
| VMware Cloud Foundation | 4.5.x | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | Async patch to ESXi70U3s-24585291 | None | Async Patching Guide: KB88287 |
| VMware Telco Cloud Platform | 5.x, 4.x, 3.x, 2.x | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | KB389385 | None | FAQ |
| VMware Telco Cloud Infrastructure | 3.x, 2.x | Any | CVE-2025-22224, CVE-2025-22225, CVE-2025-22226 | 9.3, 8.2, 7.1 | Critical | KB389385 | None | FAQ |