Broadcom, VMware ürünlerinde yer alan dört kritik güvenlik açığını kapatan VMSA-2025-0013 güvenlik bildirgesini 15 Temmuz 2025’te yayımladı. Güncelleme patchId=15940, özellikle ESXi 7.0 U3w (build 24784741) ortamlarını hedef almaktadır.
Etkilenen CVE’ler
- CVE‑2025‑41236 (VMXNET3 integer-overflow) – ESXi, Workstation, Fusion’da VMXNET3 ağ adaptöründe integer overflow. CVSS: 9.3
- CVE‑2025‑41237 (VMCI integer-underflow) – VMCI’da integer underflow ile out-of-bounds write. CVSS: 9.3
- CVE‑2025‑41238 (PVSCSI heap-overflow) – Paravirtualized SCSI kontrolöründe heap overflow. CVSS: 9.3
- CVE‑2025‑41239 (vSockets information-disclosure) – vSockets’ta uninitialized memory kullanımıyla bilgi sızdırma. CVSS: 7.1
Teknik Detaylar
a) CVE‑2025‑41236 – VMXNET3 Integer Overflow
- Etki: VMXNET3 ağ adaptörü üzerinden integer overflow.
- Saldırı Vektörü: VM içinde yerel yönetici erişimi olan bir saldırgan, host sistemde VMXNET3’ü kullanarak kod çalıştırabilir.
- Etkilenen Ürünler: VMware ESXi 7.0/8.0, Workstation 17.x, Fusion 13.x vb.
- Risk Düzeyi: Kritik – CVSS 9.3
b) CVE‑2025‑41237 – VMCI Integer Underflow
- Etki: VMCI’da integer underflow ve bellek yazma hatası.
- Saldırı Vektörü: VM yönetici yetkinliğiyle VMX süreci üzerinden kod çalıştırılabilir.
- Fark: ESXi altında sınırlı sandbox; Workstation/Fusion’da host da tehlikede.
- Risk Düzeyi: Kritik – CVSS 9.3
c) CVE‑2025‑41238 – PVSCSI Heap Overflow
- Etki: PVSCSI kontrolöründe heap overflow.
- Saldırı Vektörü: VM yöneticisi, VMX sürecine kod enjekte edebilir.
- Fark: ESXi’da sadece unsupported konfigürasyonlarda etkili; Workstation/Fusion’da host etkilenir.
- Risk Düzeyi: Kritik – CVSS 9.3
d) CVE‑2025‑41239 – vSockets Bilgi Sızdırma
- Etki: vSockets’ta başlatılmamış bellek kullanılarak bilgi sızımı.
- Saldırı Vektörü: VM yöneticisi, vSockets üzerinden host’tan hassas bellek verisi toplayabilir.
- Risk Düzeyi: Önemli – CVSS 7.1
Güncelleme ve Çözüm Bilgileri
- Güncelleme Yayımlanma Tarihi: 15 Temmuz 2025
- ESXi 7.0 U3w: patchId=15940 ile build 24784741 olarak güncellenmelidir.
- Diğer düzeltmeler:
- ESXi 8.0 U3f – build 24797835
- ESXi 8.0 U2e – build 24789317
- ESXi 9.0 – build 24813472
- VMware Workstation 17.6.4, VMware Fusion 13.6.4
Çözüm: Etkilenen sistemlerin yukarıdaki sabit sürümlere güncellenmesi zorunludur; geçici bir çözüm (workaround) mevcut değildir.
Nasıl Uygulanır?
- Broadcom destek portalına giriş
- Ürün > Çözümler (Solutions) bölümüne gidip patchId=15940 olarak arama yapılır.
- ESXi 7.0 U3w offline bundle veya patch indirilir
- ESXi ana sunuculara aşağıdaki gibi uygulanabilir:
esxcli software profile update -d /path/to/offline-bundle.zip -p ESXi-7.0U3w-24784741-standard
veya VUM/vSphere Lifecycle Manager üzerinden güncelleme yapılabilir.
Bu kritik güncelleme, VM yöneticilerini hedef alan yüksek riskli açıklara karşı host sistemini korur. Zamanında ve eksiksiz uygulanması, sanallaştırma ortamlarının güvenliği için zorunludur. Bu yazımda VMware tarafında yayınlanan kritik güncellemeden bahsettim. Faydalı olması dileğiyle.
