37.000 VMware ESXi-servers missen update voor actief aangevallen lek

[Captain Kirk]

Meer dan 37.000 VMware ESXi-servers die vanaf het internet benaderbaar zijn, waaronder ruim negenhonderd in Nederland, bevatten een actief misbruikte kwetsbaarheid, zo stelt The Shadowserver Foundation op basis van eigen onderzoek. Broadcom heeft inmiddels updates voor het beveiligingslek uitgebracht, maar misbruik vond al voor het uitkomen van de patch plaats. ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden.

Afgelopen dinsdag kwam Broadcom met updates voor drie actief aangevallen kwetsbaarheden in verschillende VMware-producten. Via de kwetsbaarheden kunnen aanvallers vanuit een virtual machine toegang tot de onderliggende hypervisor krijgen. Dit is de software waarmee virtual machines worden gemaakt en op draaien. De kwetsbaarheden (CVE-2025-22224, CVE-2025-22225 en CVE-2025-22226) zijn aanwezig in VMware ESXi, VMware Workstation Pro / Player (Workstation), VMware Fusion, VMware Cloud Foundation en VMware Telco Cloud Platform.

De gevaarlijkste kwetsbaarheid is CVE-2025-22224. Het gaat om een out-of-bounds write waardoor een aanvaller vanuit de virtual machine code op de onderliggende host kan uitvoeren. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3. The Shadowserver Foundation voerde een online scan uit en ontdekte meer dan 37.000 VMware ESXi-servers die de update voor CVE-2025-22224 niet geïnstalleerd hadden. Het grootste deel daarvan bevindt zich in China, Frankrijk en de Verenigde Staten. In Nederland ging het gisteren nog om 926 machines.

"Zodra je ESX-toegang hebt kun je alles op de ESX-server benaderen. Het gaat dan om zaken als VM-data en belangrijker ESX-configuratie en gekoppelde opslag. Via de ESX-configuratie en gekoppelde netwerkopslag kun je door de VMware-omgeving bewegen", aldus beveiligingsonderzoeker Kevin Beaumont. ESXi-kwetsbaarheden zijn in het verleden onder andere gebruikt voor cyberspionage en ransomware-aanvallen. Organisaties worden opgeroepen de updates te installeren mocht dat nog niet zijn gedaan.

 

bron: https://www.security.nl