Sicherheits-Updates für VMware ESXi, Workstation & Fusion Broadcom warnt vor VMware Zero-Day-Schwachstellen

Anbieter zum Thema

Rittal GmbH & Co. KG

Stäubli TEC-Systems GmbH Connectors

EPS Rechenzentrum Infrastruktur GmbH

Für die VMware-Technik „ESXi“, „Workstation“ und „Fusion“ stehen dringende Patches bereit. Alle drei Sicherheitslücken hat das 'Microsoft Threat Intelligence Center' entdeckt und wurden Broadcom zufolge bereits aktiv ausgenutzt.

Broadcom veröffentlichte jüngst einen Security Alert, in dem er VMware-Kunden auf drei Zero-Day-Schwachstellen aufmerksam macht. Dem Advisory zufolge betreffen die Schwachstellen (CVE-2025-22224, CVE-2025-22225 und CVE-2025-22226) VMware ESXi, Workstation und Fusion. Für jedes betroffene Produkt wurden bereits Patches veröffentlicht, Workarounds sind derzeit jedoch nicht verfügbar.

Update: Exploits gesichtet

Schwachstellen in VMware vCenter ermöglichen Malware-Angriffe

VMCI-Heap-Overflow-Sicherheitslücke

Die erste Sicherheitslücke, CVE-2025-22224, hat einen CVSS von 9.3 und ist somit kritisch. Sie betrifft einen Heap-Overflow-Fehler, im Virtual Machine Communication Interface (VMCI), eine von VMware entwickelte Infrastruktur, die die direkte Kommunikation zwischen virtuellen Maschinen (VMs) und dem Host-Betriebssystem sowie zwischen mehreren VMs auf demselben Host ermöglicht.

Ein Heap-Überlauf ist ein Speicherfehler, der auftritt, wenn ein Programm mehr Daten in den dynamischen Speicher (Heap) schreibt, als dafür vorgesehen sind. Dieser Fehler kann dazu führen, dass angrenzende Speicher überschrieben werden.

Im Falle von CVE-2025-22224 können Cyber-Kriminelle mit lokalen Admin-Rechten innerhalb virtueller Maschinen Schadcode auf dem Host-System ausführen. Broadcom stellt einen Patch bereit und informiert darüber, dass CVE-2025-22224 bereits in freier Wildbahn ausgenutzt wurde.

Sicherheitslücke in ESXi ermöglicht willkürliches Schreiben

Der Typ-1-Hypervisor ESXi von VMware enthält eine weitere Sicherehitslücke: CVE-2025-22225 (CVSS 8.2). Hat ein Cyber-Angreifer:in Berechtigungen innerhalb des VMX-Prozesses, kann er oder sie beliebige Schreibvorgänge im Kernel des Host-Systems ausführen.

Dies könnte dazu führen, dass der Angreifer aus der isolierten VM-Umgebung ausbricht und Kontrolle über das Host-System erlangt, was schwerwiegende Sicherheitsrisiken für die gesamte Infrastruktur mit sich bringen kann. Auch diese Sicherheitslücke sei bereits in freier Wildbahn ausgenutzt worden.

Unbefugter Zugriff über das Host-Guest File System

Wie CVE-2025-22224 und CVE-2025-22225, wurde die Sicherheitslücke CVE-2025-22226 (CVSS 7.1) ebenfalls vom Microsoft Threat Intelligence Center an Broadcom gemeldet und bereits für Angriffe missbraucht. Auch diese Schwachstelle betrifft ESXi, Workstation und Fusion.

Sie ermöglicht es einem Akteur mit administrativen Rechten innerhalb einer VM durch das Host-Guest File System (HGFS) auf sensible Informationen des Host-Systems zuzugreifen. Ist ein Angriff erfolgreich, könnte der Angreifer sich Zugang zum Host-System verschaffen. Broadcom teilt mit, bereits Anzeichen für eine erfolgreiche Ausnutzung beobachtet zu haben und empfiehlt seinen VMware-Kunden, die bereitgestellten Sicherheits-Updates schnellstmöglich zu installieren.

Microsoft warnt vor Angriffen auf VMware

Ransomware-Attacken auf VMware ESXi-Server

Tenable: Es ist ernst

Satnam Narang, Senior Staff Research Engineer bei Tenable, hebt in einem Kommentar die Bedeutung dieser Schwachstellen hervor: „Im Gegensatz zu Schwachstellen in Edge-Geräten, die für einen einfachen Erstzugriff ausgenutzt werden können, setzen diese Schwachstellen in verschiedenen VMware-Lösungen voraus, dass ein Angreifer über die erforderlichen Berechtigungen (Administrator/Root) auf einem Gastbetriebssystem verfügt, was kein leichtes Unterfangen ist.“

Durch Ausnutzung dieser Schwachstellen könnte ein Angreifer aus einer virtuellen Maschine (VM) ausbrechen und auf das zugrundeliegende Host-Betriebssystem zugreifen. Zwar gebe es Berichte, räumt auch er ein, dass diese Schwachstellen bereits ausgenutzt wurden , aber Details seien noch nicht bekannt.

Auch er empfiehlt, die verfügbaren Patches unbedingt einzuspielen, um sich vor zukünftigen Angriffen zu schützen. „Das ist besonders wichtig, denn wir gehen davon aus, dass in den nächsten Tagen oder Wochen Exploit-Code für diese Schwachstellen auftauchen wird.“

(ID:50347117)