לפי NVISO, תוקפים ניצלו פרצת root ב-VMware Tools כבר באוקטובר 2024
Broadcom פרסמה ב-29 בספטמבר 2025 תיקון ל-CVE-2025-41244, פרצת העלאת הרשאות ב-VMware Tools וב-Aria Operations. NVISO מדווחת שקבוצה בחסות סין ניצלה אותה כבר באוקטובר 2024.
TL;DR בקצרה
- CVE-2025-41244 מאפשרת למשתמש רגיל בתוך מכונה וירטואלית לקבל הרשאות root. הציון הוא CVSS 7.8.
- NVISO מדווחת על ניצול בפועל מאמצע אוקטובר 2024, ומייחסת אותו לקבוצה UNC5174.
- הפרצה חלה על מכונות עם VMware Tools שמנוהלות ב-Aria Operations כש-SDMP פעילה.
- התיקונים: VMware Tools 13.0.5 או 12.5.4, ו-Aria Operations 8.18.5. לפי runZero אין עקיפה.
ב-29 בספטמבר 2025 פרסמה Broadcom תיקון ל-VMware Tools, אחרי שהתגלתה בו פרצת root. הפרצה, CVE-2025-41244, מאפשרת למשתמש רגיל להפוך למנהל מלא בתוך מכונה וירטואלית. חוקרי NVISO מדווחים שתוקפים ניצלו אותה כבר באמצע אוקטובר 2024.
הפרצה חלה על מכונות עם VMware Tools, אם Aria Operations מנהלת אותן והתכונה SDMP פעילה. הציון הוא CVSS 7.8, ו-Broadcom מדרגת אותה כחשובה, ולא כקריטית. אבל ניצול בפועל משנה את סדר העדיפויות.
איך הפרצה ב-VMware Tools עובדת
SDMP, ה-Service Discovery Management Pack, בודקת אילו שירותים רצים בכל מכונה וירטואלית. לשם כך היא מריצה את הסקריפט get-versions.sh. הסקריפט סורק תהליכים שמאזינים לחיבורים. הוא מריץ את הקובץ של כל אחד מהם כדי לקרוא את הגרסה.
לפי NVISO, כמה ביטויים רגולריים בסקריפט רחבים מדי. הם מתאימים גם לקבצים בתיקיות כמו /tmp, שכל משתמש יכול לכתוב אליהן. תוקף מקומי מניח שם בינארי בשם של שירות, למשל httpd. אחר כך הוא מפעיל אותו ופותח socket מאזין.
כשהאיסוף רץ בהרשאות גבוהות, הקובץ של התוקף רץ באותן הרשאות. התוצאה היא קוד שרץ כ-root. לדברי NVISO, איסוף בלי פרטי גישה רץ בעבר בערך כל 5 דקות.
מי ניצל את הפרצה
NVISO מדווחת שהיא זיהתה ניצול בפועל כבר באמצע אוקטובר 2024, בעת טיפול באירועי תקיפה. היא קובעת בביטחון שהקבוצה UNC5174 הפעילה את הפרצה. היא מגדירה אותה כגורם סיני בחסות המדינה. התוקפים השתמשו בקובץ /tmp/httpd.
החוקרים לא יודעים אם הניצול היה חלק מהכלים של הקבוצה. אולי התוקפים נתקלו בו במקרה, כי הוא פשוט מאוד. NVISO מזכירה שניצול מחייב גישה מקומית קיימת, ולכן אמורות להידלק גם התראות אחרות.
NVISO זיהתה אנומליה באירוע ב-19 במאי 2025, ודיווחה ל-Broadcom ב-27 במאי. Broadcom האריכה את האמברגו ביוני. האמברגו הוסר ב-29 בספטמבר, ו-Broadcom פרסמה את התיקונים.
NVISO מוסיפה שהבאג היה גלוי בקוד הפתוח של open-vm-tools. לכן אולי תוכנות זדוניות אחרות נהנו ממנו בלי כוונה, במשך שנים. הגרסה הפתוחה מופצת ברוב ההפצות הגדולות של Linux.
איך מתקנים את VMware Tools ואת Aria Operations
Broadcom פרסמה את התיקונים במסמך VMSA-2025-0015. לפי runZero, VMware Tools 13.x צריך לעבור לגרסה 13.0.5. גרסאות 12.x ו-11.x צריכות לעבור ל-12.5.4. ב-Aria Operations 8.x צריך גרסה 8.18.5, וב-VCF Operations 9.x צריך 9.0.1.0.
אותו מסמך מכסה גם את CVE-2025-41245 ואת CVE-2025-41246. במקביל פרסמה Broadcom את VMSA-2025-0016, שמתייחס ל-vCenter ול-NSX. כדאי לעבור על שני המסמכים, ולא רק על הפרצה שנוצלה.
ב-Linux אפשר להשתמש ב-open-vm-tools. הצוות פרסם ב-30 בספטמבר את גרסה 13.0.5, וגם טלאי לגרסאות קודמות. לפי runZero לא פורסמה עקיפה ידועה, ולכן עדכון הוא הדרך היחידה.
מה קרה מאז
ב-30 באוקטובר 2025 הוסיפה CISA את CVE-2025-41244 לקטלוג KEV, שמרכז חולשות שתוקפים מנצלים בפועל. היא קבעה לסוכנויות פדרליות בארה"ב מועד תיקון: 20 בנובמבר.
מה זה אומר עבורכם
- עדכנו VMware Tools: ל-13.0.5 או ל-12.5.4. ב-Linux עדכנו את open-vm-tools, או התקינו את הטלאי של ההפצה.
- עדכנו את Aria Operations: לגרסה 8.18.5, או ל-9.0.1.0 ב-VCF Operations.
- בדקו אם SDMP פעילה: זו התצורה שבה הפרצה חלה. בדקו גם אילו מכונות Aria Operations מנהלת.
- חפשו סימני ניצול: תהליכי בן חריגים של vmtoolsd, וקובץ כמו /tmp/httpd. NVISO ממליצה לבדוק גם שאריות בתיקיית /tmp/VMware-SDMP-Scripts.
- צמצמו גישה מקומית: הפרצה דורשת משתמש מקומי. בדקו מי יכול להתחבר למכונות הוירטואליות.
מקורות והרחבה
- You name it, VMware elevates it (CVE-2025-41244)NVISO
- VMSA-2025-0015: VMware Aria Operations and VMware Tools updates address multiple vulnerabilitiesBroadcom
- CVE-2025-41244NIST NVD
- open-vm-tools 13.0.5 releaseGitHub (open-vm-tools)
- Latest VMware Aria Operations vulnerability: CVE-2025-41244runZero
- VMware security advisory (AV25-629)Canadian Centre for Cyber Security
- CISA Adds Two Known Exploited Vulnerabilities to CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
