VMware ESXi-lekken mogelijk een jaar voor het uitkomen van updates misbruikt

[Captain Kirk]

Drie kwetsbaarheden in VMware ESXi zijn mogelijk een jaar voordat beveiligingsupdates beschikbaar kwamen om ze te verhelpen, misbruikt bij aanvallen. Dat stelt securitybedrijf Huntress op basis van onderzoek. Ook al zijn updates beschikbaar, nog zo'n 34.000 ESXi-servers zijn niet gepatcht, waaronder achthonderd in Nederland. Via de kwetsbaarheden kunnen aanvallers vanuit een virtual machine toegang tot de onderliggende hypervisor krijgen. Dit is de software waarmee virtual machines worden gemaakt en op draaien.

De kwetsbaarheden (CVE-2025-22224, CVE-2025-22225 en CVE-2025-22226) werden op 4 maart 2025 gepatcht in VMware ESXi, VMware Workstation Pro / Player (Workstation), VMware Fusion, VMware Cloud Foundation en VMware Telco Cloud Platform. De gevaarlijkste kwetsbaarheid is CVE-2025-22224. Het gaat om een out-of-bounds write waardoor een aanvaller vanuit de virtual machine code op de onderliggende host kan uitvoeren. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.

De andere twee VMware-kwetsbaarheden hebben een lagere impactscore en maken het mogelijk voor een aanvaller om geheugen van het vmware-proces te lekken en uit de sandbox-beveiliging van de software te breken. Bij het uitbrengen van de updates meldde Broadcom dat er al actief misbruik van de kwetsbaarheden was gemaakt. Sinds wanneer dit misbruik plaatsvond liet het bedrijf niet weten.

Volgens Huntress zijn de beveiligingslekken mogelijk al een jaar voor het uitkomen van de updates misbruikt. Het securitybedrijf baseert zich op een exploit-toolkit die bij aanvallen tegen VMware ESXi-hypervisors werd ingezet. Met "moderate confidence" stelt Huntress dat deze exploit-toolkit gebruikmaakt van de drie bovengenoemde kwetsbaarheden. In de toolkit werd een path aangetroffen met een datum van 19 februari 2024, wat volgens de onderzoekers suggereert dat misbruik al geruime tijd voor het verschijnen van de patches plaatsvond. Via de toolkit wordt een backdoor op de ESXi-hypervisor geïnstalleerd.

De onderzochte exploit-toolkit ondersteunt 155 verschillende ESXi builds, van versie 5.1 tot en met 8.0. Sommige van deze versies zijn end-of-life en worden niet meer ondersteund. Volgens The Shadowserver Foundation missen op het moment van schrijven nog zo'n 34.000 ESXi-servers de updates die Broadcom vorig jaar maart beschikbaar stelde. Het gaat onder andere om achthonderd machines in Nederland.

 

bron: https://www.security.nl