VMware ESXi-lekken mogelijk een jaar voor het uitkomen van updates misbruikt
Drie kwetsbaarheden in VMware ESXi zijn mogelijk een jaar voordat beveiligingsupdates beschikbaar kwamen om ze te verhelpen, misbruikt bij aanvallen. Dat stelt securitybedrijf Huntress op basis van onderzoek. Ook al zijn updates beschikbaar, nog zo'n 34.000 ESXi-servers zijn niet gepatcht, waaronder achthonderd in Nederland. Via de kwetsbaarheden kunnen aanvallers vanuit een virtual machine toegang tot de onderliggende hypervisor krijgen. Dit is de software waarmee virtual machines worden gemaakt en op draaien.
De kwetsbaarheden (CVE-2025-22224, CVE-2025-22225 en CVE-2025-22226) werden op 4 maart 2025 gepatcht in VMware ESXi, VMware Workstation Pro / Player (Workstation), VMware Fusion, VMware Cloud Foundation en VMware Telco Cloud Platform. De gevaarlijkste kwetsbaarheid is CVE-2025-22224. Het gaat om een out-of-bounds write waardoor een aanvaller vanuit de virtual machine code op de onderliggende host kan uitvoeren. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.
De andere twee VMware-kwetsbaarheden hebben een lagere impactscore en maken het mogelijk voor een aanvaller om geheugen van het vmware-proces te lekken en uit de sandbox-beveiliging van de software te breken. Bij het uitbrengen van de updates meldde Broadcom dat er al actief misbruik van de kwetsbaarheden was gemaakt. Sinds wanneer dit misbruik plaatsvond liet het bedrijf niet weten.
Volgens Huntress zijn de beveiligingslekken mogelijk al een jaar voor het uitkomen van de updates misbruikt. Het securitybedrijf baseert zich op een exploit-toolkit die bij aanvallen tegen VMware ESXi-hypervisors werd ingezet. Met "moderate confidence" stelt Huntress dat deze exploit-toolkit gebruikmaakt van de drie bovengenoemde kwetsbaarheden. In de toolkit werd een path aangetroffen met een datum van 19 februari 2024, wat volgens de onderzoekers suggereert dat misbruik al geruime tijd voor het verschijnen van de patches plaatsvond. Via de toolkit wordt een backdoor op de ESXi-hypervisor geïnstalleerd.
De onderzochte exploit-toolkit ondersteunt 155 verschillende ESXi builds, van versie 5.1 tot en met 8.0. Sommige van deze versies zijn end-of-life en worden niet meer ondersteund. Volgens The Shadowserver Foundation missen op het moment van schrijven nog zo'n 34.000 ESXi-servers de updates die Broadcom vorig jaar maart beschikbaar stelde. Het gaat onder andere om achthonderd machines in Nederland.
Waarschijnlijk niet.
Er zijn er geen bekend in elk geval.
Het is een veel minder ernstig probleem als je dedicated ESX verhuurt aan klanten (en dat goed afschermt), omdat admin hebben op windows/linux, en daarmee admin via een exploit op ESXi, de hacker alleen maar ... tsja... niks oplevert, admin had ie toch al.
En verder: altijd alles netjes patchen, en de collega die daartegen is risico-eigenaar maken. (of de collega die daar voor is risico-eigenaar maken :- )
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Wij zoeken een Junior DevOps Engineer!
Ben jij nieuwsgierig, leergierig en klaar om je te verdiepen in de wereld van DevOps? In deze functie krijg je alle ruimte om te groeien. Je werkt met de nieuwste technologieën en krijgt intensieve begeleiding van ervaren security professionals zodat je je in korte tijd kunt ontwikkelen tot een volwaardige DevOps Engineer. Je werkt in Den Haag en werkt samen met een team dat kennis, humor en uitdaging moeiteloos weet te combineren. Are you ready for a challenge?