VMware ESXi diante de falha crítica

VMware ESXi diante de falha crítica: análise profunda da vulnerabilidade TOCTOU e seus riscos

Uma falha grave—classificada como TOCTOU (Time-of-Check Time-of-Use)—foi identificada recentemente em sistemas VMware ESXi e Workstation. Essa vulnerabilidade, rastreada como CVE‑2025‑22224, permite que um invasor, com privilégios administrativos dentro de uma máquina virtual, execute código no processo VMX que roda diretamente no host. Isso representa um mecanismo de escape de VM com potencial para comprometimento total do servidor físico. A CVSS modelada pela própria VMware é de 9,3 (Critical), embora a avaliação do NIST esteja em 8,2 (High). 

 

Detalhamento técnico das vulnerabilidades ESXi, Workstation e Fusion

Em 4 de março de 2025, a Broadcom divulgou o VMSA‑2025‑0004, alertando sobre três vulnerabilidades zero-day ativamente exploradas:

  • CVE‑2025‑22224: falha TOCTOU que permite escrita fora dos limites (out-of-bounds write) no processo VMX, escalando privilégios do guest para host.

  • CVE‑2025‑22225: vulnerabilidade de escrita arbitrária (arbitrary write) dentro do VMX, possibilitando a fuga da sandbox.

  • CVE‑2025‑22226: leitura fora dos limites (out-of-bounds read) no sistema de arquivos compartilhado HGFS, resultando em vazamento de memória do host.
    Todas exigem privilégios administrativos na VM. A CISA incluiu essas falhas em sua lista de “Known Exploited Vulnerabilities (KEV)”, confirmando exploração ativa no ambiente real. 

 

Expansão do risco: múltiplas vulnerabilidades críticas identificadas posteriormente

Além dessas, outra série de falhas foi identificada:

  • CVE‑2025‑41236 (integer overflow no adaptador VMXNET3),

  • CVE‑2025‑41237 (integers underflow no VMCI),

  • CVE‑2025‑41238 (heap overflow no PVSCSI),

  • CVE‑2025‑41239 (vazamento de memória via vSockets).
    Todas essas são severas e podem resultar em execução remota de código como processo VMX no host, ampliando exponencialmente o vetor de ataque dentro de ambientes virtualizados. As versões afetadas de ESXi devem ser atualizadas imediatamente para builds seguras disponibilizadas pela Broadcom. 

 

Cenários de ataque reais: exploração por grupos sofisticados

Mesmo antes dessas vulnerabilidades serem exploradas diretamente, grupos como o Scattered Spider empregaram táticas avançadas de engenharia social para comprometer ambientes VMware. O método inclui obtenção de redefinições de senha via help desk, acesso ao vCenter (vCSA), ativação de SSH nos hosts ESXi e alteração de senhas de root para ampliação do controle e implantação de ransomware em poucas horas. Esse cenário demonstra que, mesmo sem falhas técnicas, o domínio do ambiente VMware pode levar a danos irreparáveis. 

 

Recomendações práticas imediatas: como reagir e fortalecer defesas

  • Aplique urgentemente os patches recomendados pela VMware nas versões ESXi, Workstation e Fusion citadas no advisory oficial.

  • Em ambientes de nuvem hospedada, priorize a redução de privilégios administrativos dentro das VMs e monitore logs históricos por sinais de exploração antes da divulgação.

  • Segmente VMs e hosts, minimize exposição de consoles de gerenciamento e habilite autenticação forte (MFA, idealmente phishing-resistant).

  • Implemente monitoramento contínuo para atividade anômala em processos VMX, logs de tradução de memória e uso de interfaces como VMCI, HGFS e VMXNET3.

  • Utilize fones de detecção, resposta e isolamento automáticos para sessões suspeitas e analise rapidamente qualquer incidente potencial. 

 

Conclusão

As vulnerabilidades recém-divulgadas em VMware ESXi e produtos relacionados (Workstation e Fusion) representam um risco extremo a ambientes virtualizados. A capacidade de escapar da sandbox de VM e comprometer o processo VMX do host coloca em risco toda a infraestrutura compartilhada. Combinar essas falhas com vetores sociais — como o Scattered Spider demonstra — intensifica o perigo. A única saída eficaz é atuação imediata: patching rigoroso, endurecimento de credenciais, segregação de privilégio e monitoramento especializado. Somente assim as organizações poderão preservar a integridade e resiliência de seus ambientes virtualizados.

 

Referências Bibliográficas