VMware Aria Operation und VMware Tools Zero-Day-Schwachstelle ermöglicht Root-Rechte in VMware-Umgebungen

Anbieter zum Thema

FAST LTA GmbH

Seit Oktober 2024 nutzen Angreifer einfache Dateinamen, um Root-Rechte in VMware-Systemen zu erlangen. Nviso identifizierte die Methode bei mehreren Angriffen der Gruppe UNC5174.

Das belgische Beratungshaus Nviso hat eine kritische Sicherheitslücke in VMware-Produkten aufgedeckt, die offenbar bereits seit Oktober 2024 aktiv ausgenutzt wird. Die Ermittlungen im Rahmen mehrerer Vorfallsanalysen ergaben Anzeichen einer Zero-Day-Ausnutzung, die auf die chinesische APT-Gruppe „UNC5174“ zurückzugehen schien. Nviso hat Broadcom im Mai 2025 informiert, Ende September folgten Patches für die betroffenen Komponenten.

Hoher Schweregrad

Mehrere Sicherheitslücken in VMware Cloud Foundation

Schwachstelle in VMware Aria Operations und VMware Tools entdeckt

Die Schwachstelle CVE-2025-41244 (CVSS-Score 7.8) betrifft den Service-Discovery-Mechanismus in „VMware Aria Operations“ und „VMware Tools“. Diese Funktion durchsucht virtuelle Maschinen regelmäßig nach laufenden Programmen, um Versionsdaten zu erfassen. Dabei legt das System temporäre Dateien im Verzeichnis „/tmp“ ab, das für alle Benutzer beschreibbar ist. Ein Angreifer kann dort ein manipuliertes Programm platzieren. Beim nächsten Scan wird dieses vom Mechanismus erkannt und mit Root-Rechten ausgeführt, also mit den höchsten Systemprivilegien. Dadurch können Cyberkriminelle Schadcode mit vollständigen Rechten laufen lassen, Backdoors einrichten oder Daten stehlen.

Warum war das möglich?

Hinter dem Softwarefehler steckt eine fehlende Überprüfungsverfahren. Denn die Software vertraut Programmen, die bestimmten Namensmustern entsprechen, ohne deren Herkunft oder Speicherort zu prüfen. Wird eine Datei beispielsweise „/tmp/httpd“ genannt, interpretiert VMware sie als legitimen Webserver-Prozess. Die Folge: Sie wird automatisch mit erweiterten Rechten gestartet. In mehreren Fällen nutzte die chinesische Angreifergruppe UNC5174 genau dieses Muster. Ihre Tarnung bestand aus Systemnamen wie „httpd“ oder „mysqld“.

Interessanterweise betonen die Sicherheitsforscher von Nviso, dass dieser Fehler so trivial sei, dass unklar bleibe, ob die Angreifer ihn gezielt oder unbeabsichtigt ausnutzten. Da UNC5174 häufig Systemprozesse imitiere, könnten laut Nviso auch andere Malware-Varianten jahrelang unbeabsichtigt von dieser Rechteausweitung profitiert haben. Die Zero-Day-Schwachstelle CVE-2025-41244 ermöglicht eine vollständige Übernahme virtueller Maschinen. Nviso demonstrierte im Report den Angriff in einem Proof-of-Concept, der mit wenigen Zeilen Code eine Root-Shell öffnet. Der zugehörige Exploit-Code ist inzwischen öffentlich verfügbar.

Unentdeckte Schadsoftware „Plague“ kapert PAM-Subsystem

Hochentwickelte Backdoor bedroht Linux-Server

Weiteren Schwachstellen bei VMware

Neben CVE-2025-41244 informiert Broadcom über fünf weitere Sicherheitslücken. Zwei davon – CVE-2025-41245 (CVSS-Score 4.9) und CVE-2025-41246 (CVSS-Score 7.6) – betreffen erneut Aria Operations und VMware Tools:

• In VMware Aria Operations können Angreifer ohne administrative Rechte auf Zugangsdaten anderer Nutzer zugreifen.

• In VMware Tools für Windows lassen sich mit begrenzten Berechtigungen andere virtuelle Maschinen kompromittieren, sofern zuvor Zugriff auf vCenter oder ESXi besteht.

Darüber hinaus führen die Entwickler in einer separaten Sicherheitsmeldung drei weitere Schwachstellen mit den Kennungen CVE-2025-41250 (CVSS-Score 8.5), CVE-2025-41251 (CVSS-Score 8.1) und CVE-2025-41252 (CVSS-Score 7.5) an. Betroffen sind die Lösungen „Cloud Foundation“, „NSX“, „NSX-T“, „Telco Cloud Infrastructure“, „Telco Cloud Platform“ und „vCenter Server“. Wenn Cyberangreifer bereits authentifiziert sind und geplante Aufgaben anlegen können, lassen sich in diesem Kontext versendete E-Mails manipulieren oder geschützte Daten einsehen.

Berühmt und berüchtigt

Wie gefährlich sind Zero-Day-Schwachstellen?

Was sollten Administratoren jetzt tun?

Broadcom rät dringend, die veröffentlichten Sicherheitsupdates einzuspielen, da keine alternativen Schutzmaßnahmen existieren. Das Advisory mit den Download-Links ist online abrufbar. Die Patches schließen die sechs genannten Schwachstellen, die in Kombination sowohl Cloud- als auch On-Premises-Umgebungen betreffen.

Sicherheitsupdates für VMware ESXi, Workstation & Fusion

Broadcom warnt vor drei VMware Zero-Day-Schwachstellen

(ID:50579871)