Broadcom corrige des failles critiques dans plusieurs produits VMware

Broadcom a publié des correctifs en urgence pour plusieurs produits de sa filiale VMware : ESXi, Workstation, Fusion, Cloud Foundation et Telco Cloud Platform. Ces trois vulnérabilités susceptibles de déboucher sur une évasion de machines virtuelles ont été comblées : elles sont par ailleurs activement exploitées par des attaquants. Cette salve de patchs critiques intervient un an après une précédente qui concernait aussi ESXi, Workstation et Fusion. Les produits du spécialiste en virtualisation, en particulier l'hyperviseur de type 1 ESXi, sont des cibles de grande valeur et ont été visés à plusieurs reprises par des groupes de cybercriminels et de cyberespionnage ces dernières années. Les évasions de machines virtuelles, dans lesquelles un attaquant ayant accès à une VM invitée peut prendre le contrôle de l'ensemble du serveur hôte, sont les attaques les plus graves contre l'hyperviseur car elles violent le principe de sécurité fondamental que la virtualisation est censée offrir : l'isolation complète entre les OS invités et le système d'exploitation hôte.

Les trois vulnérabilités composant cette chaîne d'exploit ont été signalées à Broadcom par le Threat Intelligence Center de Microsoft, une équipe dont la tâche principale est de suivre les acteurs de la menace et les attaques. Le fournisseur a déclaré avoir reçu des informations suggérant que l'exploitation de ces failles s'est produite dans la nature. Ces trois brèches de sécurité affectent ESXi ainsi que les solutions d'entreprise qui en dépendent, mais deux touchent aussi l'hyperviseur de type 2 Workstation Pro pour Windows et Linux et une pour Fusion pour macOS.

Une chaine d'attaque variée

La première vulnérabilité, répertoriée en tant que CVE-2025-22224, est située dans l'interface de communication de la machine virtuelle (VMCI), un dispositif présent dans toutes les machines virtuelles VMware et qui gère les communications interprocessus au niveau des sockets. Broadcom décrit cette faille comme une vulnérabilité time-of-check time-of-use (toctou) qui peut provoquer une écriture mémoire hors limites conduisant à un débordement. La faille affecte ESXi et Workstation et peut être exploitée par un attaquant disposant de privilèges d'administrateur dans une VM invitée pour exécuter un code arbitraire dans le contexte du processus VMX sur l'hôte. Pour cette raison, elle est classée avec un score CVSS de 9,3.

La seconde faille, CVE-2025-22225, de type écriture arbitraire touche ESXi et peut offrir à un attaquant disposant de privilèges dans le processus VMX en sandbox - comme ceux fournis par la première vulnérabilité - d'écrire dans la mémoire du noyau. Il s'agit essentiellement d'une escalade de privilèges entraînant une évasion du bac à sable. La faille est classée avec un score CVSS de 8,2. Le dernier bug de sécurité référencé CVE-2025-22226, est une lecture de mémoire hors limites dans le composant HGFS qui peut conduire à la divulgation d'informations. Les attaquants disposant de privilèges administrateur dans une VM peuvent exploiter cette faille pour faire fuiter la mémoire du processus VMX. Cette faille impacte ESXi, Workstation et Fusion et a un score de sévérité de 7,1.

Pas de solutions de contournement mais des patchs à appliquer

Il n'existe aucune solution de contournement possible pour ces vulnérabilités, si ce n'est déployer les correctifs publiés. Les clients ESXi peuvent installer la v8.0 Update 3d, 2d, ou 3s, en fonction de leur édition. Les versions 6.5 et 6.7 d'ESXi ont également publié des correctifs, mais ceux-ci ne sont disponibles que pour les clients ayant souscrit un contrat de support étendu.

« Broadcom recommande l'utilisation de vMotion pour déplacer les machines virtuelles vers d'autres hôtes pendant que vous effectuez la mise à jour, de manière à procéder à un redémarrage progressif », a déclaré la société dans une foire aux questions. « Les machines virtuelles qui n'utilisent pas vMotion devront être mises hors tension pendant le redémarrage de l'hôte. » Les entreprises qui utilisent vSphere (7.x et 8.x), VCF (4.5.x et 5.x), Telco Cloud Platform (2.x à 5.x) et Infrastructure (2.x et 3.x) doivent déployer les correctifs ESXi qui correspondent à l'édition incluse dans leurs produits. Broadcom a fourni des documents de support individuels avec des instructions pour ces produits dans son avis. Les utilisateurs de Workstation 17.x doivent mettre à jour vers la version 17.6.3 et ceux de Fusion 13.x mettre à jour vers la v13.6.3.