A VMware Workstation és Fusion termékekben több olyan biztonsági hiba került nyilvánosságra, amelyeket a fenyegető szereplők kihasználva bizalmas információkhoz férhetnek hozzá, DoS állapotot idézhetnek elő, és bizonyos körülmények között kódot hajthatnak végre.
A négy sebezhetőség a Workstation 17.x és a Fusion 13.x verzióit érinti, a javítások a 17.5.2, illetve a 13.5.2 verzióban érhetőek el – közölte a Broadcom tulajdonában lévő virtualizációs szolgáltató.
CVE-2024-22267 (CVSS érték: 9.3) – Use-after-free sebezhetőség a Bluetooth eszközben, amelyet egy virtuális gépen helyi rendszergazdai jogosultságokkal rendelkező rosszindulatú szereplő kihasználva kódot futtathat a virtuális gép VMX folyamataként, amely a gazdaszámítógépen fut.
CVE-2024-22268 (CVSS érték: 7.1) – Heap puffer túlcsordulásos sebezhetőség a Shader funkcióban, amelyet egy rendszergazdai hozzáféréssel nem rendelkező, rosszindulatú szereplő kihasználhat egy 3D grafikát engedélyező virtuális gépen, és DoS állapotot hozhat létre.
CVE-2024-22269 (CVSS érték: 7.1) – A Bluetooth eszközben található információ közzétételi sebezhetőség, amelyet egy virtuális gépen helyi rendszergazdai jogosultságokkal rendelkező rosszindulatú szereplő kihasználhat, hogy a hipervizor memóriájában lévő, privilegizált információkat olvasson ki egy virtuális gépből.
CVE-2024-22270 (CVSS érték: 7.1) – Információ közzétételi sebezhetőség a Host Guest File Sharing funkcióban, amelyet egy virtuális gépen helyi rendszergazdai jogosultságokkal rendelkező rosszindulatú szereplő kihasználhat, hogy a hipervizor memóriájában lévő, privilegizált információkat olvasson ki egy virtuális gépből.
Ideiglenes megoldásként a javítások telepítéséig a felhasználóknak ajánlott kikapcsolni a Bluetooth támogatást a virtuális gépen, és letiltani a 3D gyorsítás funkciót. A CVE-2024-22270-re a legújabb verzióra való frissítésen kívül nincs más enyhítő megoldás.
A tanácsadás több mint két hónappal azután érkezett, hogy a vállalat négy, az ESXi, Workstation és Fusion rendszereket érintő biztonsági hibát javító javításokat adott ki, köztük két kritikus hibát (CVE-2024-22252 és CVE-2024-22253), amelyek kódfuttatáshoz vezethetnek.
