Broadcom dicht drie actief misbruikte zerodays in VMware

Broadcom heeft drie actief misbruikte zerodays in VMware gedicht met een patch. Aanvallers kunnen via de kwetsbaarheden vanuit een virtual machine toegang krijgen tot de onderliggende hypervisor.

De kwetsbaarheden hebben impact op VMware ESXi, Workstation en Fusion, zegt Broadcom op zijn website. Voor alle getroffen producten zijn patches uitgebracht. Een workaround is niet beschikbaar, Broadcom adviseert de patches direct te installeren. Op de website staat per softwareversie beschreven naar welke versie geüpdatet moet worden.

De kritiekste kwetsbaarheid is CVE-2025-22224, waarvan de ernst wordt ingeschaald op een 9,3 op een schaal van 10. Deze fout is een kritieke VMCI-heap-overflowkwetsbaarheid die VMware ESXi en Workstation treft. Via de fout kan een aanvaller met lokale beheerdersrechten vanuit een virtuele machine code op de onderliggende host uitvoeren.

CVE-2025-22225 treft VMware ESXI en maakt het mogelijk om uit de sandboxbeveiliging van de software te breken. Ook deze fout is kritiek en krijgt een score van 8,2. Van de derde en laatste fout, CVE-2025-22226, wordt de ernst ingeschaald op 7,1. Deze fout laat aanvallers met beheerdersrechten voor een virtuele machine geheugen lekken uit het VMX-proces.

Reacties (39)

[Llopigat]

Zijn deze updates ook te krijgen voor de gebruikers van de gratis ESXi 7? Die is niet meer te krijgen maar hopelijk de updates nog wel.

[anboni]

Voor zover ik heb begrepen, zouden deze updates ook beschikbaar worden gesteld aan gebruikers zonder lopend onderhoudscontract. (geeft ook meteen wel een beetje aan hoe serieus deze lekken potentieel zijn, de fixes worden zelfs gebackport naar 6.5 en 6.7 die al een tijdje niet meer ondersteund zijn)

Volgens mij beantwoord dit item in de FAQ je vraag:
https://github.com/vmware...-i-download-those-patches

[Reactie gewijzigd door anboni op 4 maart 2025 17:52]

[Llopigat]

Oh bedankt! Ik kon vroeger al niks vinden bij VMWare en sinds de overname is het natuurlijk helemaal drama geworden omdat ze je ook niks willen laten vinden Super.

[anboni]

Ja, ze hebben het er zeker niet makkelijker op gemaakt... Ik heb er ook regelmatig moeite mee, en ik ben er dan nog professioneel mee bezig ook.

[edwin2021]

Zeker, is een grote puinhoop. Ik gebruik vmware al bijna 20 jaar maar ben nu toch echt aan het testen met alternatieven. Simpelweg geen vertrouwen in de toekomst van vmware als product.

[anboni]

Tja, op dit moment zit ik bij een service provider die nog behoorlijk diep in vmware zit, dus voorlopig komt mijn kennis en ervaring nog goed van pas. Gelukkig is vmware niet m'n enige focus hier, dus ik doe nog steeds voldoende ervaring op met andere gebieden (vooral storage) om m'n toekomst perspectief op peil te houden.

[DeSoepkip]

Ik ben het helaas met je eens. Opeens ben ik hyperv serieus aan het overwegen

[asing]

Nou ja, met de fratsen die Microsoft uithaalt zou ik dat voor een productie omgeving niet te hard overwegen. En met fratsen bedoel ik slecht of niet geteste updates uitsturen.

[Alfa1970]

Patches en updates (van eender welke leverancier) worden wel degelijk zeer uitgebreid getest.
Maar op 1+ miljard installaties zul je altijd situaties kunnen vinden waar de testen niet alles hebben gedekt.
Je doet voorkomen of Microsoft als een stelletje beginnende amateurs te werk gaat.
Niets is minder waar.

[groene henk]

Wat test je allemaal? Ben je ook Incus aan het testen? Begrijp dat het volwassen, toekomstgericht en 100% open source is.

[kwakzalver]

Sind de hyper-vercommercialisering is het een ramp. Ook hier is het vertrouwen weg. Hou het als Legacy waar men het nog wilt.
Hyper-V (licentie technisch) of Proxmox momenteel als alternatief, met elk hun eigen ‚bijzonderheden ‚

[Llopigat]

hyper-vercommercialisering

I see what you did there

[andriesb435]

Klopt, het is echt een drama! Ik ben ook deze patch aan het zoeken op de Broadcom site maar kan de ISO niet vinden.

Ben echt serieus aan het kijken naar alternatieven zoals Proxmox

[Fuss!]

Mooie beloftes, maar de downloadlink geeft geen resultaten, zelfs na registreren/inloggen.
Na wat zoekwerk geeft https://support.broadcom....utiondetails?patchId=5771 weer wat ik wil (VMware-ESXi-7.0U3s-24585291-depot), maar toont geen downloadlink (ook na inloggen).

[Alfa1970]

De download staat er wel degelijk, maar je moet even naar beneden scrollen naar solution downloads.
Dan staat er in de tabel download met een icon eronder.
Als je op het icon klikt kun je de download starten. (Ik heb wel een zakelijk account gebruikt, dus ymmv als je dat niet hebt).
Dit is typisch voor Broadcom, en zelfs al denk je de truckjes een beetje te snappen, dan nog zoek je je elke keer wezenloos.

[Ives]

Ik zie geen icoon met een gratis account:

https://imgur.com/a/G51b7wn

[Llopigat]

Ja precies. Heb je hem inmiddels wel ergens gevonden?

Gelukkig zetten ze wel de SHA erbij van de officiele depot. Dan weet je in elk geval zeker dat er niet mee geknoeid is, als je hem 'elders' weet te vinden.

[Ives]

Neen nog niet gevonden. Ik heb wel gesproken met customer service bij broadcom en die zeggen dat het niet beschikbaar zijn van de download link een bug is waar aan gewerkt wordt. Op datum van vandaag is deze nog steeds niet beschikbaar.

[Llopigat]

Ah okee bedankt, dan hou ik het in de gaten. De SSH optie werkt voor mij niet omdat ik de depot moet modden met de fling er in. Die heb ik trouwens inmiddels wel gevonden voor 8.0U3. Staat op community.broadcom.com.

[Reactie gewijzigd door Llopigat op 17 maart 2025 12:15]

[themadone]

Ik kom 6.5 en 6.7 nergens tegen op die site?

[anboni]

Niet? Ik las in de FAQ dat er wel updates zijn voor 6.5 en 6.7. Is voor mij niet relevant, dus verder dan dat heb ik niet gekeken, sorry

[Ives]

Ze hebben de FAQ verwijderd en terug toegevoegd, zonder dit item.
https://github.com/vmware...advisories/vmsa-2025-0004

Verwijderd in 91f0b73f9b9f5093cebcf5b80f098fce976881dc
Readded in 8d7ec2443a6a2c2c6ef48b04ea68c6090fdf7ddb

Nu staat dit er niet meer in.

[Llopigat]

Hmm helaas werkt die link niet. Ik moet inloggen maar mijn oude login werkt niet meer.

[susse77]

@anboni Updates kun je installeren via ssh:
https://www.steijvers.com...-0u3d-vmware-esxi-7-0u3s/

Dan hoef je verder niet eerst een iso of offline installer te downloaden.

[Reactie gewijzigd door susse77 op 4 maart 2025 22:20]

[anboni]

Ik weet niet waar je denkt gezien te hebben dat ik dat nodig heb, ik gebruik gewoon Lifecycle Manager om de single image te updaten naar de gewenste versie en laat de boel daarna remediaten. Gaat (bijna) vanzelf.

[susse77]

@anboni gevalletje scheel gekeken. Het was @Fuss! die op zoek was naar download links.

[Llopigat]

Oh die werkte voor mij ook niet helaas Ik heb een USB NIC Fling nodig (een soort third party driver) en daardoor kan ik hem niet op die manier updaten. Ik ga wel weer verder op zoek via hun website. Wat een drama

[the_stickie]

Hoewel een hoge CVSS, lijkt me de impact voor het gros van de vsphere klanten (die voor de rest hun boel op orde hebben) beperkt. Je hebt immers beheerdersrechten in een VM nodig. Als een bad actor admin heeft op een vm heb je (ook) andere problemen. Bovendien zijn de beheerders van de vm's in heel wat omgevingen ook (deels) admin (of hebben verregaande rechten) op vsphere.
Mij lijkt het dat vooral cloud/serviceproviders die sowieso code van derden moeten accepteren niet zo blij zijn met de beweging die dit indingers kan geven.
Althans: zo zou het moeten zijn. Jammer genoeg heb ik al heel wat implementaties gezien waar men niet echt heeft stilgestaan bij de securityimpact van sommige configuraties, maar alleen de noodzakelijke klikken heeft gedaan om het werkend te krijgen

[anboni]

Bovendien zijn de beheerders van de vm's in heel wat omgevingen ook (deels) admin (of hebben verregaande rechten) op vsphere.

Daarom wil je zoveel mogelijk seperation of privileges hebben. Met mijn kantoor account kan ik niets binnen de vsphere omgevingen (en ik heb ueberhaupt geen admin toegang tot de kantoor omgeving, da's een ander subteam binnen de afdeling). Dan heb ik een apart user account in een aparte AD waarmee ik op de vsphere omgevingen kan inloggen, maar die user heeft dan weer nauwelijks rechten binnen die AD omgeving, want daar heb ik dan weer een apart admin account voor.

En inderdaad, ik heb vanmiddag onze esx hosts voor interne toepassingen deze update al gegeven. Even een nachtje aankijken of er geen gekke dingen zijn, vanaf morgen de klantomgevingen updaten (kleine 200 hosts, dus we zijn weer een paar dagen zoet).

[the_stickie]

Feit blijft dat er weinig voor je te halen is door de virtual machine-admin te escalaten naar een vsphere admin mocht je slechte intenties hebben - want die rechten heb je al, zij het met een andere account. Als een admin onverhoopt malware runt op een vm heb je sowieso al een probleem, deze kwetsbaarheden make dat probleem alleen potentieel groter. M'n punt is dus voornamelijk dat als je normaliter zorgvuldig omspringt met admin credentials, er al andere problemen moeten zijn voor deze CVE's impactvol zijn.

Overigens ben ik het wel eens met je punt: je privileges zinvol over verschillende accounts verdelen is een best practice die lateral movement sterk kan beperken. Maar, afhankelijk van je security doelen, is het maar een element in de keten. Kan je nog 7 accounts hebben - als je die allemaal gebruikt om van je persoonlijke laptop in te loggen op de juiste beheerdersinterfaces, is het maar een kleine drempel.

[smartsys]

En wat nou als je een hosting provider bent en VMs aan klanten aanbied?
Een hacker neemt 1 VM af en kan via die VM mogelijk de hele vSphere omgeving benaderen.
Toch wel een dingetje.

Is het een private cloud, dan is de impact kleiner.

[Reactie gewijzigd door smartsys op 5 maart 2025 14:33]

[the_stickie]

Mij lijkt het dat vooral cloud/serviceproviders die sowieso code van derden moeten accepteren niet zo blij zijn met de beweging die dit indingers kan geven.

[anboni]

En wat nou als je een hosting provider bent en VMs aan klanten aanbied?

Dat is waarom wij deze update via een emergency change installeren (met een normale change hebben we x dagen aankondigingstijd voordat we mogen beginnen, met een e-change sturen we morgenochtend een mailtje dat we morgenmiddag beginnen met de esx hosts updaten)

[Triblade_8472]

Er zijn zo vreselijk veel situaties te bedenken waarin mensen lokale admin-rechten hebben in VMware.

Bijvoorbeeld ontwikkelaars, of mensen met een virtuele Windows client OS die iets draaien waar UAC\local admin voor nodig is.

Of het zijn gewone mensen op de servers, maar er kan altijd een (zer-day) lek misbruikt worden om local admin rechten te krijgen en dan dit uit te voeren.

[telenut]

De 'hackers' moeten dan wel al in uw citrix omgeving zitten dus om het te misbruiken.
Maar velen gebruiken browser en Outlook binnen citrix, op die manier kan het mogelijks ook misbruikt worden denk ik?

[anboni]

Iedere VM die op een of andere manier vanaf internet te benaderen valt, is in potentie te misbruiken. Het vereist dan wel een opeenstapeling van lekken natuurlijk, maar die zijn er door de jaren heen genoeg geweest. Een aanvaller zou zich via een (open)ssh lek toegang kunnen verschaffen tot een linux vm, daarbinnen een ander lek misbruiken voor privilege escalation en daarna met dit lek op de hypervisor terecht kunnen komen.

[Mellow Jack]

Gelukkig gebruiken ze geen Citrix

Verder wat @anboni zegt

[telenut]

Ah, juist. Gaat over VM :-) zowat alles draait in een VM...

[Triblade_8472]

Niet alleen directe hackers, het kan ook een springbord server zijn voor bijvoorbeeld leveranciers.

Als een hacker bij een leverancier binnen zit, kunnen ze via hen bij jou naar binnen komen en dan de ellende uitvoeren.

Niet alleen Citrix, maar ook (site-to-site) VPNs, management servers of andere koppelvlakken.