Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] VMware opravuje 7 zranitelností v různých produktech

VMware opravuje 7 zranitelností v produktech vCenter Server, ESXi, Cloud Foundation (vCenter, ESXi), VMware Telco Cloud Platform (vCenter, ESXi), Telco Cloud Infrastructure (vCenter, ESXi), Workstation a Fusion (MacOS). Opravené verze lze nalézt na [1][2]. Nejzávažnější zranitelnosti jsou uvedeny níže.

VMware Cloud Foundation - directory traversal (CVE-2025-41229)
CVSS 8.2 (High)

Neautentizovaný vzdálený útočník může ve VMware Cloud Foundation provést directory traversal útok [1].

Zranitelnost se nachází v produktu:

  • VMware Cloud Foundation; >=5.0, <5.2.1.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Více informací:

  • CVE-2025-41229 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 5. 2025.

VMware Cloud Foundation - informaction disclosure (CVE-2025-41230)
CVSS 7.5 (High)

Neautentizovaný vzdálený útočník může ve VMware Cloud Foundation neoprávněně zobrazovat informace [1].

Zranitelnost se nachází v produktu:

  • VMware Cloud Foundation; >=5.0, <5.2.1.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 20. 5. 2025.

VMware vCenter Server - command execution (CVE-2025-41225)
CVSS 8.8 (High)

Autentizovaný vzdálený útočník s oprávněním upravovat alarmy a spouštět skripty může ve VMware vCenter Server spouštět příkazy v operačním systému zařízení [2].

Zranitelnost se nachází v produktu:

  • VMware vCenter Server; >=7.0, <7.0 U3v; >=8.0, <8.0 U3e;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-41225 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 5. 2025.

VMware ESXi - DoS (CVE-2025-41226)
CVSS 6.8 (Medium)

Autentizovaný lokální útočník s právy "guest" udělenými v rámci virtuálního stroje ve VMware ESXi může způsobit DoS útok [2].

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 20. 5. 2025.

VMware ESXi, vCenter Server - XSS (CVE-2025-41228)
CVSS 4.3 (Medium)

Neautentizovaný vzdálený útočník může ve VMware ESXi a vCenter Server provést reflected XSS útok [2].

Zranitelnost se nachází v produktu:

  • VMware vCenter Server; >=7.0, <7.0 U3v; >=8.0, <8.0 U3e;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Více informací:

  • CVE-2025-41228 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 5. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 22. 5. 2025.

CESNET, z.s.p.o. Logo