{"id":23105,"date":"2025-09-20T08:00:00","date_gmt":"2025-09-20T11:00:00","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=23105"},"modified":"2025-08-19T12:55:42","modified_gmt":"2025-08-19T15:55:42","slug":"vmware-esxi-diante-de-falha-critica","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2025\/09\/exploits\/vmware-esxi-diante-de-falha-critica\/","title":{"rendered":"VMware ESXi diante de falha cr\u00edtica"},"content":{"rendered":"\n<p style=\"text-align: justify;\" data-start=\"0\" data-end=\"873\"><strong data-start=\"0\" data-end=\"97\">VMware ESXi diante de falha cr\u00edtica: an\u00e1lise profunda da vulnerabilidade TOCTOU e seus riscos<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"0\" data-end=\"873\">Uma falha grave\u2014classificada como TOCTOU (Time-of-Check Time-of-Use)\u2014foi identificada recentemente em sistemas VMware ESXi e Workstation. Essa vulnerabilidade, rastreada como <strong data-start=\"275\" data-end=\"293\">CVE\u20112025\u201122224<\/strong>, permite que um invasor, com privil\u00e9gios administrativos dentro de uma m\u00e1quina virtual, execute c\u00f3digo no processo VMX que roda diretamente no host. Isso representa um mecanismo de <em data-start=\"475\" data-end=\"489\">escape de VM<\/em> com potencial para comprometimento total do servidor f\u00edsico. A CVSS modelada pela pr\u00f3pria VMware \u00e9 de <strong data-start=\"592\" data-end=\"610\">9,3 (Critical)<\/strong>, embora a avalia\u00e7\u00e3o do NIST esteja em <strong data-start=\"649\" data-end=\"663\">8,2 (High)<\/strong>.\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"0\" data-end=\"873\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"875\" data-end=\"1080\"><strong data-start=\"875\" data-end=\"947\">Detalhamento t\u00e9cnico das vulnerabilidades ESXi, Workstation e Fusion<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"875\" data-end=\"1080\">Em 4 de mar\u00e7o de 2025, a Broadcom divulgou o VMSA\u20112025\u20110004, alertando sobre tr\u00eas vulnerabilidades zero-day ativamente exploradas:<\/p>\n<ul style=\"text-align: justify;\" data-start=\"1082\" data-end=\"1976\">\n<li data-start=\"1082\" data-end=\"1236\">\n<p data-start=\"1084\" data-end=\"1236\"><strong data-start=\"1084\" data-end=\"1102\">CVE\u20112025\u201122224<\/strong>: falha TOCTOU que permite escrita fora dos limites (out-of-bounds write) no processo VMX, escalando privil\u00e9gios do guest para host.<\/p>\n<\/li>\n<li data-start=\"1237\" data-end=\"1365\">\n<p data-start=\"1239\" data-end=\"1365\"><strong data-start=\"1239\" data-end=\"1257\">CVE\u20112025\u201122225<\/strong>: vulnerabilidade de escrita arbitr\u00e1ria (arbitrary write) dentro do VMX, possibilitando a fuga da sandbox.<\/p>\n<\/li>\n<li data-start=\"1366\" data-end=\"1976\">\n<p data-start=\"1368\" data-end=\"1976\"><strong data-start=\"1368\" data-end=\"1386\">CVE\u20112025\u201122226<\/strong>: leitura fora dos limites (out-of-bounds read) no sistema de arquivos compartilhado HGFS, resultando em vazamento de mem\u00f3ria do host.<br data-start=\"1520\" data-end=\"1523\" \/>Todas exigem privil\u00e9gios administrativos na VM. A CISA incluiu essas falhas em sua lista de \u201cKnown Exploited Vulnerabilities (KEV)\u201d, confirmando explora\u00e7\u00e3o ativa no ambiente real.\u00a0<\/p>\n<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"1978\" data-end=\"2122\"><strong data-start=\"1978\" data-end=\"2065\">Expans\u00e3o do risco: m\u00faltiplas vulnerabilidades cr\u00edticas identificadas posteriormente<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"1978\" data-end=\"2122\">Al\u00e9m dessas, outra s\u00e9rie de falhas foi identificada:<\/p>\n<ul style=\"text-align: justify;\" data-start=\"2123\" data-end=\"2913\">\n<li data-start=\"2123\" data-end=\"2186\">\n<p data-start=\"2125\" data-end=\"2186\"><strong data-start=\"2125\" data-end=\"2143\">CVE\u20112025\u201141236<\/strong> (integer overflow no adaptador VMXNET3),<\/p>\n<\/li>\n<li data-start=\"2187\" data-end=\"2239\">\n<p data-start=\"2189\" data-end=\"2239\"><strong data-start=\"2189\" data-end=\"2207\">CVE\u20112025\u201141237<\/strong> (integers underflow no VMCI),<\/p>\n<\/li>\n<li data-start=\"2240\" data-end=\"2289\">\n<p data-start=\"2242\" data-end=\"2289\"><strong data-start=\"2242\" data-end=\"2260\">CVE\u20112025\u201141238<\/strong> (heap overflow no PVSCSI),<\/p>\n<\/li>\n<li data-start=\"2290\" data-end=\"2913\">\n<p data-start=\"2292\" data-end=\"2913\"><strong data-start=\"2292\" data-end=\"2310\">CVE\u20112025\u201141239<\/strong> (vazamento de mem\u00f3ria via vSockets).<br data-start=\"2347\" data-end=\"2350\" \/>Todas essas s\u00e3o severas e podem resultar em execu\u00e7\u00e3o remota de c\u00f3digo como processo VMX no host, ampliando exponencialmente o vetor de ataque dentro de ambientes virtualizados. As vers\u00f5es afetadas de ESXi devem ser atualizadas imediatamente para builds seguras disponibilizadas pela Broadcom.\u00a0<\/p>\n<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"2915\" data-end=\"3649\"><strong data-start=\"2915\" data-end=\"2979\">Cen\u00e1rios de ataque reais: explora\u00e7\u00e3o por grupos sofisticados<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"2915\" data-end=\"3649\">Mesmo antes dessas vulnerabilidades serem exploradas diretamente, grupos como o <strong data-start=\"3062\" data-end=\"3082\">Scattered Spider<\/strong> empregaram t\u00e1ticas avan\u00e7adas de engenharia social para comprometer ambientes VMware. O m\u00e9todo inclui obten\u00e7\u00e3o de redefini\u00e7\u00f5es de senha via help desk, acesso ao vCenter (vCSA), ativa\u00e7\u00e3o de SSH nos hosts ESXi e altera\u00e7\u00e3o de senhas de root para amplia\u00e7\u00e3o do controle e implanta\u00e7\u00e3o de ransomware em poucas horas. Esse cen\u00e1rio demonstra que, mesmo sem falhas t\u00e9cnicas, o dom\u00ednio do ambiente VMware pode levar a danos irrepar\u00e1veis.\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"2915\" data-end=\"3649\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"3651\" data-end=\"3723\"><strong data-start=\"3651\" data-end=\"3721\">Recomenda\u00e7\u00f5es pr\u00e1ticas imediatas: como reagir e fortalecer defesas<\/strong><\/p>\n<ul style=\"text-align: justify;\" data-start=\"3724\" data-end=\"4657\">\n<li data-start=\"3724\" data-end=\"3852\">\n<p data-start=\"3726\" data-end=\"3852\">Aplique urgentemente os patches recomendados pela VMware nas vers\u00f5es ESXi, Workstation e Fusion citadas no advisory oficial.<\/p>\n<\/li>\n<li data-start=\"3853\" data-end=\"4027\">\n<p data-start=\"3855\" data-end=\"4027\">Em ambientes de nuvem hospedada, priorize a redu\u00e7\u00e3o de privil\u00e9gios administrativos dentro das VMs e monitore logs hist\u00f3ricos por sinais de explora\u00e7\u00e3o antes da divulga\u00e7\u00e3o.<\/p>\n<\/li>\n<li data-start=\"4028\" data-end=\"4169\">\n<p data-start=\"4030\" data-end=\"4169\">Segmente VMs e hosts, minimize exposi\u00e7\u00e3o de consoles de gerenciamento e habilite autentica\u00e7\u00e3o forte (MFA, idealmente phishing-resistant).<\/p>\n<\/li>\n<li data-start=\"4170\" data-end=\"4323\">\n<p data-start=\"4172\" data-end=\"4323\">Implemente monitoramento cont\u00ednuo para atividade an\u00f4mala em processos VMX, logs de tradu\u00e7\u00e3o de mem\u00f3ria e uso de interfaces como VMCI, HGFS e VMXNET3.<\/p>\n<\/li>\n<li data-start=\"4324\" data-end=\"4657\">\n<p data-start=\"4326\" data-end=\"4657\">Utilize fones de detec\u00e7\u00e3o, resposta e isolamento autom\u00e1ticos para sess\u00f5es suspeitas e analise rapidamente qualquer incidente potencial.\u00a0<\/p>\n<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"4659\" data-end=\"5317\"><strong data-start=\"4659\" data-end=\"4672\">Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"4659\" data-end=\"5317\">As vulnerabilidades rec\u00e9m-divulgadas em VMware ESXi e produtos relacionados (Workstation e Fusion) representam um risco extremo a ambientes virtualizados. A capacidade de escapar da sandbox de VM e comprometer o processo VMX do host coloca em risco toda a infraestrutura compartilhada. Combinar essas falhas com vetores sociais \u2014 como o Scattered Spider demonstra \u2014 intensifica o perigo. A \u00fanica sa\u00edda eficaz \u00e9 atua\u00e7\u00e3o imediata: patching rigoroso, endurecimento de credenciais, segrega\u00e7\u00e3o de privil\u00e9gio e monitoramento especializado. Somente assim as organiza\u00e7\u00f5es poder\u00e3o preservar a integridade e resili\u00eancia de seus ambientes virtualizados.<\/p>\n<p data-start=\"4659\" data-end=\"5317\">\u00a0<\/p>\n<p data-start=\"5324\" data-end=\"5356\"><strong data-start=\"5324\" data-end=\"5354\">Refer\u00eancias Bibliogr\u00e1ficas<\/strong><\/p>\n<ul data-start=\"5357\" data-end=\"5740\">\n<li data-start=\"5357\" data-end=\"5488\">\n<p data-start=\"5360\" data-end=\"5488\"><em data-start=\"5360\" data-end=\"5389\">CVE\u20112025\u201122224 Detail \u2013 NVD<\/em>. National Vulnerability Database. Dispon\u00edvel em: <a class=\"decorated-link cursor-pointer\" href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-22224\" target=\"_blank\" rel=\"noopener\" data-start=\"5439\" data-end=\"5486\">https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-22224<\/a><\/p>\n<\/li>\n<li data-start=\"5489\" data-end=\"5740\">\n<p data-start=\"5492\" data-end=\"5740\"><em data-start=\"5492\" data-end=\"5570\">Multiple Zero\u2011Day Vulnerabilities in Broadcom VMware ESXi and Other Products<\/em>. Rapid7, 4 de mar\u00e7o de 2025. Dispon\u00edvel em: <a class=\"decorated-link cursor-pointer\" href=\"https:\/\/www.rapid7.com\/blog\/post\/2025\/03\/04\/etr-multiple-zero-day-vulnerabilities-in-broadcom-vmware-esxi-and-other-products\/\" target=\"_blank\" rel=\"noopener\" data-start=\"5615\" data-end=\"5740\">https:\/\/www.rapid7.com\/blog\/post\/2025\/03\/04\/etr-multiple-zero-day-vulnerabilities-in-broadcom-vmware-esxi-and-other-products\/<\/a><\/p>\n<\/li>\n<\/ul>\n\n\n","protected":false},"excerpt":{"rendered":"<p>VMware ESXi diante de falha cr\u00edtica: an\u00e1lise profunda da vulnerabilidade TOCTOU e seus riscos Uma falha grave\u2014classificada como TOCTOU (Time-of-Check Time-of-Use)\u2014foi identificada recentemente em sistemas VMware ESXi e Workstation. Essa vulnerabilidade, rastreada como CVE\u20112025\u201122224, permite que um invasor, com privil\u00e9gios administrativos dentro de uma m\u00e1quina virtual, execute c\u00f3digo no processo VMX que roda diretamente no [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":23110,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-23105","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23105","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=23105"}],"version-history":[{"count":2,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23105\/revisions"}],"predecessor-version":[{"id":23107,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23105\/revisions\/23107"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/23110"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=23105"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=23105"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=23105"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}