Broadcom ha alertado a sus clientes sobre tres vulnerabilidades Zero-Day de VMware, reportadas por el Centro de Inteligencia de Amenazas de Microsoft. Estas vulnerabilidades, etiquetadas como explotadas en ataques, afectan varios productos de la empresa, incluyendo VMware ESX, ESXi, vSphere, Workstation, Fusion, Cloud Foundation y Telco Cloud Platform.
Vulnerabilidades Identificadas
Las vulnerabilidades, identificadas como CVE-2025-22224, CVE-2025-22225 y CVE-2025-22226, permiten a los atacantes con privilegios de administrador o acceso raíz escapar del entorno protegido de la máquina virtual. Broadcom explica que un atacante que ya ha comprometido el sistema operativo invitado y ha obtenido acceso privilegiado podría acceder al hipervisor.
CVE-2025-22224 es una vulnerabilidad de desbordamiento de pila de VCMI de gravedad crítica que permite a los atacantes locales con privilegios administrativos en la máquina virtual ejecutar código como el proceso VMX que se ejecuta en el host.
CVE-2025-22225 es una vulnerabilidad de escritura arbitraria de ESXi que permite al proceso VMX activar escrituras arbitrarias en el kernel, lo que lleva a un escape de la zona protegida. CVE-2025-22226 se describe como una falla de divulgación de información de HGFS que permite a los actores con permisos de administrador filtrar memoria del proceso VMX.
Contexto y Uso en Ataques
Las vulnerabilidades de VMware suelen ser el objetivo de ataques de bandas de ransomware y grupos de delincuentes informáticos patrocinados por el estado, ya que se utilizan comúnmente en operaciones empresariales para almacenar o transferir datos corporativos confidenciales.
Más recientemente, Broadcom advirtió en noviembre sobre la explotación activa de dos vulnerabilidades de VMware vCenter Server parcheadas en septiembre. Una permite la escalada de privilegios a la raíz (CVE-2024-38813), mientras que la otra es una falla crítica de ejecución remota de código (CVE-2024-38812) informada durante el concurso de piratería Matrix Cup 2024 de China.
En enero de 2024, Broadcom reveló que atacantes estatales chinos habían explotado una vulnerabilidad crítica de vCenter Server (CVE-2023-34048) como día cero desde al menos finales de 2021 para implementar puertas traseras VirtualPita y VirtualPie en hosts ESXi vulnerables.
Conclusión
Broadcom continúa monitoreando la explotación de vulnerabilidades en sus productos, alertando a los usuarios sobre posibles amenazas que podrían ser aprovechadas por actores malintencionados. La empresa recomienda aplicar las correcciones disponibles para mitigar el riesgo asociado a estas brechas.