A VMware lançou correções para quatro falhas de segurança que afetam o ESXi, Workstation e Fusion, incluindo duas falhas críticas que podem levar à execução de código. As vulnerabilidades, rastreadas como CVE-2024-22252 e CVE-2024-22253, foram descritas como bugs de uso após liberação no controlador USB XHCI.
Elas têm uma pontuação CVSS de 9.3 para Workstation e Fusion, e 8.4 para sistemas ESXi. “Um ator malicioso com privilégios administrativos locais em uma máquina virtual pode explorar essa falha para executar código como o processo VMX da máquina virtual que está sendo executado no host”, disse a empresa em um novo aviso.
“No ESXi, a exploração é contida dentro do sandbox VMX, enquanto no Workstation e Fusion, isso pode levar à execução de código na máquina onde o Workstation ou Fusion está instalado.” Vários pesquisadores de segurança associados foram creditados por descobrir e relatar independentemente o CVE-2024-22252. Os pesquisadores de segurança VictorV e Wei foram reconhecidos por relatar o CVE-2024-22253. Como uma solução temporária até que uma correção possa ser implantada, os clientes foram solicitados a remover todos os controladores USB da máquina virtual.
