VMware ESXi, Workstation ve Fusion Güvenlik Açıkları için Kritik Güvenlik Yamaları Yayınladı Oluşturuldu

VMware ESXi, Workstation ve Fusion Güvenlik Açıkları için Kritik Güvenlik Yamaları Yayınladı Oluşturuldu

VMware, ESXi, Workstation ve Fusion ürünlerini etkileyen dört güvenlik açığını gidermek için kritik güvenlik yamaları yayınladı. Bu açıklardan CVE-2024-22252 ve CVE-2024-22253 kritik olup XHCI USB denetleyicisindeki use-after-free hataları olarak tanımlanmıştır. Bu güvenlik açıkları, sanal makinedeki yerel bir yöneticinin ana bilgisayardaki VMX işlemi içinde kod çalıştırmasına izin verebilir ve CVSS puanı Workstation ve Fusion için 9,3 ve ESXi sistemleri için 8,4'tür.

Ayrıca VMware, CVSS ölçeğinde 7,9 olarak derecelendirilen CVE-2024-22254 ve CVE-2024-22255'i de yamalamıştır. CVE-2024-22254, ESXi'de sınır dışı yazma güvenlik açığını içeriyor ve VMX işlemi içinde ayrıcalıklara sahip kötü niyetli bir aktör için potansiyel olarak bir sanal alan kaçışını mümkün kılıyor. Bu arada, CVE-2024-22255, UHCI USB denetleyicisindeki bir bilgi ifşası güvenlik açığını ifade eder ve sanal makineye yönetici erişimi olan bir saldırganın VMX işleminden bellek sızdırmasına izin verir.

Etkilenen Sistemler

-

IoC’ler

-

Çözüm Önerileri

Yamalar dağıtılana kadar bu güvenlik açıklarını azaltmak için VMware, etkilenen sanal makinelerden tüm USB denetleyicilerinin kaldırılmasını önermektedir. Bu geçici önlem, VMware sanal USB bellekleri veya dongle'ları gibi sanal/uyarlanmış USB aygıtlarının kullanılamamasını sağlar. Bununla birlikte, varsayılan klavye/fare giriş aygıtları, varsayılan olarak USB protokolü aracılığıyla bağlanmadıkları, ancak konuk işletim sisteminde yazılım aygıtı emülasyonunu kolaylaştıran bir sürücüye sahip oldukları için etkilenmez.

CVE / CWE

CVE-2024-22254 ve CVE-2024-22255

Ek Bilgiler

• https://nvd.nist.gov/vuln/detail/CVE-2024-22254
• https://www.vmware.com/security/advisories/VMSA-2024-0006.html

* CVSS 3.1 skoru (10 üzerinden) 7.0-8.9 olanlar “yüksek”, 9.0-10.0 olanlar “kritik” zafiyet olarak değerlendirilmektedir.