Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] VMware opravuje 3 zraniteľnosti v produktoch VMware ESXi, Workstation a Fusion
VMware opravuje 1 kritickú a 2 vysoko závažné zraniteľnosti vo svojich produktoch VMware ESXi, Workstation a Fusion [1]. Zraniteľné produkty a ich opravy: VMware ESXi - ESXi80U3d-24585383, ESXi80U2d-24585300, ESXi70U3s-24585291 [1] VMware Workstation - 17.6.3 [1] VMware Fusion - 13.6.3 [1] Postup opravy pre produkty v rámci cloudových platforiem VMware Cloud Foundation a Telco Cloud Platform je k dispozícii na [2][3].
Neautentizovanému lokálnemu útočníkovi s administrátorskými oprávneniami na virtuálnom stroji je v produktoch VMware ESXi a Workstation umožnené vykonať kód ako proces VMX virtuálneho stroja bežiaceho na hostiteľovi [1].
Zraniteľnosť sa nachádza v produktoch:
- *:VMware ESXi; =8.0; =7.0
- *:VMware Workstation; >=17.0, <17.6.3
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22224 na cve.org, NVD
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 3. 2025.
Autentizovanému lokálnemu útočníkovi s oprávneniami v rámci procesu VMX je v produkte VMware ESXi umožnené vyvolať ľubovoľný zápis do jadra, čo môže viesť k úniku zo sandboxu [1].
Zraniteľnosť sa nachádza v produkte:
- *:VMware ESXi; =8.0; =7.0
CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22225 na cve.org, NVD
- CWE-123: Write-what-where Condition na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 3. 2025.
Neautentizovanému lokálnemu útočníkovi s administrátorskými oprávneniami na virtuálnom stroji je v produktoch VMware ESXi, Workstation a Fusion umožnené spôsobiť únik pamäte z procesu VMX [1].
Zraniteľnosť sa nachádza v produktoch:
- *:VMware ESXi; =8.0; =7.0
- *:VMware Workstation; >=17.0, <17.6.3
- *:VMware Fusion; >=13.0, <13.6.3
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2025-22226 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 3. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 5. 3. 2025.