Handlungsempfehlung zu VMware-Sicherheitslücke in VMware ESXi, Workstation, Fusion und Tools
VMware hat mit VMSA-2025-0013 auf eine Sicherheitslücke hingewiesen, die die VMware-Produkte ESXi, Fusion, Workstation und Tools betrifft.
Mit dem aktuellen Patch werden drei Sicherheitslücken der Stufe CVSS 9.3 (Risiko „kritisch“) geschlossen:
CVE-2025-41236: Angreifer können in VMware ESXi, Tools und Fusion mit Admin-Rechten in einer VM mit VMXNET3-Netzwerkadapter einen Integer-Überlauf provozieren und so Code im Host-System ausführen.
CVE-2025-41237: Angreifer können in VMware ESXi, Tools und Fusion einen Integer-Unterlauf im VMCI-Code (Virtual Machine Communication Interface) auslösen und Schreibzugriffe außerhalb vorgesehener Speicherbereiche erhalten. Hier kann Code mittels des VMX-Prozesses auf dem Host ausgeführt werden.
CVE-2025-41238: Betroffen ist der PVSCSI-Controller der Produkte ESXi, Fusion und Workstation. Admins können einen Heap-basierten Pufferüberlauf provozieren und so außerhalb vorgesehener Speicherbereiche schreiben. Auch hier kann über den VMX-Prozess Code auf dem Host ausgeführt werden.
Betroffene Versionen:
- ESXi 7.0 <ESXi70U3w-24784741
- ESXi 8.0 <ESXi80U2e-24789317
- ESXi 8.0 <ESXi80U3f-24784735
- Workstation 17.x <17.6.4
- Fusion 13.x ≤13.6.4
- Telco Cloud Infrastructure 3.x, 2.x
- Telco Cloud Platform 5.x, 4.x, 3.x, 2.x
- Cloud Foundation 5.x, 4.5.x
Handlungsempfehlung:
Aktuellste Sicherheitsupdates der Produkte:
- VMware Cloud Foundation
- VMware vSphere Foundation
- VMware ESXi
- VMware Workstation Pro
- VMware Fusion
- VMware Tools
- VMware Telco Cloud Platform
- VMware Telco Cloud Infrastructure
Quellen:
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/35877 (16.07.2025)
https://www.heise.de/news/VMware-stopft-teils-kritische-Sicherheitsluecken-10489531.html (16.07.2025)
Gerne unterstützen wir Sie bei der Prüfung Ihrer Systeme und der Umsetzung der entsprechenden Maßnahmen. Melden Sie sich dazu bitte bei unserem Support per Mail (support@systemhaus-vorort.de) oder telefonisch (+49 271 3388460-1) und vereinbaren einen zeitnahen Termin.
Sollten die betroffenen Systeme Teil eines Managed Service-Vertrags sein, wird dazu automatisch ein Ticket erstellt, und wir setzen uns proaktiv mit Ihnen in Verbindung.
Sollten Sie die betroffenen Produkte als Service unserer K-loud nutzen, müssen Sie sich in diesem Fall um nichts mehr kümmern, die notwendigen Anpassungen werden von uns vorgenommen.
