VMware hat in aktuellen Versionen von ESXi, Fusion und Workstation mehrere als "kritisch" eingestufte Sicherheitslücken behoben. Diese Probleme könnten es Angreifern im schlimmsten Fall ermöglichen, aus einer virtuellen Maschine auszubrechen & Schadcode im Hostsystem auszuführen.
Schlupflöcher im USB-Controller
Die als "kritisch" eingestuften Lücken (CVE-2024-22252, CVE-2024-22253) im XHCI-/UHCI-USB-Controller erfordern lokale Administratorrechte in der virtuellen Maschine. Trotzdem besteht die Gefahr; dass Angreifer in Fusion und Workstation ausbrechen können. Im Fall von ESXi ist die Bedrohung aufgrund der betroffenen VMX-Sandbox und nicht des Hostsystems als "hoch" eingestuft.
Speicherfehler & Informationsleck
Eine weitere Schwachstelle in ESXi (CVE-2024-22254) ermöglicht es Angreifern, auf einem nicht offengelegten Weg Speicherfehler auszulösen und aus der Sandbox auszubrechen. Eine separate Lücke (CVE-2024-22255) könnte Informationen aus dem VMX-Prozess preisgeben.
Sicherheitsupdates ebenfalls für nicht unterstützte Versionen
Selbst für nicht weiterhin unterstützte Versionen von ESXi erhält eine Reihe von Sicherheitsupdates, darunter auch für den ESXi-Versionstrang 8. Administratoren finden weitere Details in den Warnmeldungen.
Kommentare