CISA מוסיפה ל-KEV חולשות ב-VMware Tools וב-XWiki, ושתיהן מנוצלות בפועל
ב-30 באוקטובר 2025 הוסיפה CISA לקטלוג KEV את CVE-2025-41244 ב-VMware Tools וב-Aria Operations ואת CVE-2025-24893 ב-XWiki. שתיהן מנוצלות בתקיפות, ושתיהן כבר מתוקנות.
TL;DR בקצרה
- CISA הוסיפה ב-30 באוקטובר 2025 את CVE-2025-41244 ב-VMware ואת CVE-2025-24893 ב-XWiki לקטלוג החולשות המנוצלות.
- CVE-2025-41244 מאפשרת למשתמש מקומי בלי הרשאות מנהל להגיע ל-root. לפי NVISO, תוקפים ניצלו אותה כפרצת יום אפס מאז אמצע אוקטובר 2024.
- CVE-2025-24893 ב-XWiki מאפשרת הרצת קוד בלי הזדהות. לפי VulnCheck, תוקף התקין כורה מטבעות דרכה.
- התיקונים זמינים: Broadcom פרסמה ב-29 בספטמבר 2025, ו-XWiki תיקנה כבר בפברואר 2025.
CISA הוסיפה ב-30 באוקטובר 2025 שתי חולשות לקטלוג KEV, ושתיהן מנוצלות בפועל. הראשונה היא CVE-2025-41244 ב-VMware Aria Operations וב-VMware Tools. השנייה היא CVE-2025-24893 ב-XWiki. לקטלוג KEV נכנסות חולשות עם ראיות לניצול בתקיפות. CISA לא פירטה את התקיפות. שתי החולשות כבר מתוקנות, ולכן בדיקת הגרסאות היא הצעד הראשון.
מה זה CVE-2025-41244 ב-VMware
החולשה מאפשרת למשתמש מקומי בלי הרשאות מנהל לקבל הרשאות root באותה מכונה וירטואלית. לפי heise, היא דורשת מכונה עם VMware Tools, המחוברת ל-VMware Aria Operations. גילוי השירותים (SDMP) צריך להיות פעיל. ציון CVSS שלה הוא 7.8, בדרגה גבוהה.
NVISO, שחשפה את החולשה, מסבירה את המנגנון. פונקציית גילוי השירותים רצה בהרשאות גבוהות. היא מחפשת תהליכים עם שקע פתוח ומשווה את הפקודה של כל תהליך לביטוי רגולרי רחב. לכן תוכנית שהמשתמש הניח בתיקייה פתוחה לכתיבה, כמו /tmp/httpd, מתאימה לתבנית ורצה כ-root.
לפי NVISO, תוקפים ניצלו את החולשה כפרצת יום אפס כבר מאמצע אוקטובר 2024. החוקרים מייחסים את הפעילות ברמת ביטחון גבוהה ל-UNC5174, קבוצה סינית בחסות מדינה. הם לא יודעים אם התוקפים תכננו את הניצול או השתמשו בו כי היה פשוט. Broadcom פרסמה את הייעוץ והתיקונים ב-29 בספטמבר 2025.
לפי heise, התיקונים כבר זמינים. בפלטפורמת הניהול של VMware התיקון הוא בגרסה 9.0.1.0 של Cloud Foundation Operations, ובגרסה 8.18.5 ומעלה של Aria Operations. בכלי ההרחבה של המכונות הווירטואליות, VMware Tools, התיקון הוא בגרסאות 13.0.5 ו-12.5.4. NVISO בדקה את הגרסה הפתוחה, open-vm-tools, שמגיעה עם רוב הפצות הלינוקס.
מה זה CVE-2025-24893 ב-XWiki
זו חולשת הזרקת תבנית בחיפוש של XWiki, ומי שמנצל אותה לא צריך להזדהות. לפי heise, אורח יכול להריץ קוד באמצעות בקשת חיפוש שתוקף בנה. ציון CVSS שלה הוא 9.8, בדרגה קריטית. התיקונים הם בגרסאות 15.10.11, 16.4.1 ו-16.5.0RC1 ומעלה, ו-XWiki פרסמה אותם בפברואר 2025.
VulnCheck פרסמה ב-28 באוקטובר 2025 את מה שראתה במלכודות שלה. תוקף מווייטנאם הפעיל את הניצול בשני מעברים, בהפרש של לפחות 20 דקות. הראשון הוריד לשרת סקריפט מוריד בשם /tmp/11909. השני הריץ אותו, והוא משך סקריפטים מ-transfer.sh.
הפעולה הסתיימה בכורה מטבעות בשם tcrond, שמחובר לרשת c3pool.org. הסקריפטים גם הרגו כורים מתחרים. VulnCheck מציינת שהיא וגורמים נוספים עקבו אחרי ניצול של החולשה כבר במהלך 2025. במרץ היא הוסיפה אותה לקטלוג ה-KEV של VulnCheck עצמה.
מה זה אומר עבורכם
- עדכנו את VMware: בדקו VMware Tools ו-Aria Operations מול הגרסאות המתוקנות. בדקו גם את open-vm-tools בהפצות הלינוקס.
- חפשו עקבות ב-VMware: NVISO מציינת תהליכי משנה חריגים של vmtoolsd. עוד סימן הוא שאריות בתיקיית /tmp/VMware-SDMP-Scripts.
- עדכנו את XWiki: עברו ל-15.10.11, ל-16.4.1 או ל-16.5.0RC1 ומעלה.
- חפשו כורה מטבעות: בדקו את הקובץ /tmp/11909, תהליך tcrond ותנועה החוצה ל-c3pool.org. סימן נוסף הוא עומס מעבד חריג.
- חסמו כתובות: VulnCheck מפרסמת את 123.25.249.88 ואת 193.32.208.24 כמחוונים לתקיפה.
מה הלאה
החובה לתקן עד מועד מסוים חלה רק על סוכנויות פדרליות בארה״ב, לפי BOD 22-01. CISA קוראת לכל הארגונים לתעדף תיקון של חולשות KEV. מי שמריץ XWiki או VMware Tools בשרתים שפונים לאינטרנט צריך להתחיל משם.
מקורות והרחבה
- CISA Adds Two Known Exploited Vulnerabilities to CatalogCISA
- You name it, VMware elevates it (CVE-2025-41244)NVISO
- XWiki CVE-2025-24893: exploitation in the wildVulnCheck
- Warnung vor Angriffen auf Lücken in VMware und XWikiheise online
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
