VMware waarschuwt voor ernstige beveiligingsproblemen

Twee kwetsbaarheden (CVE-2024-22252 en CVE-22253) zijn van toepassing op VMware’s Workstation, Fusion desktop hypervisors en ESXi server hypervisor. De problemen zijn als zeer ernstig beoordeeld met een score van 9,3 en 8,4. Kwaadwillenden kunnen een malafide gebruikersaccount met lokale adminrechten op een virtuele machine misbruiken om buiten de virtuele omgeving te stappen en zo code uit te voeren op de onderliggende pc of mac. Op ESXi kan het dat doen in het VMX-proces, dat elke virtuele machine omhult.

De derde kwetsbaarheid, CVE-2024-22254 (score van 7,9) laat toe dat iemand met privileges in het VMX proces ook een write-actie kan ondernemen die hen uit de sandboxomgeving laat gaan. CVE-2024-22255 (score van 7,1) laat iemand met adminrechten toe om geheugen te laten lekken uit het VMX proces.

Patches beschikbaar

Voor alle vier de kwetsbaarheden wijst VMware naar patches op deze pagina, waar het ook verdere technische uitleg geeft over de andere kwetsbaarheden. Er is ook een alternatieve werkwijze mogelijk.

Voor een aantal kwetsbaarheden ligt de oorsprong bij virtuele usb-controllers. VMware raadt aan die te verwijderen als een workaround, maar nuanceert ook die aanpak mogelijk niet handig is op grote schaal, het neemt immers ook toegang tot muis en toetsenbord via de virtuele console weg op die manier, al wordt dat op Windows en Linux wel op een andere manier ondersteund.

In samenwerking met Data News