Luka w VMware ESXi i Workstation pozwala administratorowi jednej maszyny wirtualnej wykonać kod na serwerze fizycznym, który obsługuje wszystkie maszyny. Wykorzystywana w atakach, obejścia brak. Zainstaluj poprawione kompilacje ESXi i Workstation 17.6.3.
Ten alert jest dla zarządu, CTO i CFO firm, które uruchamiają swoje systemy w maszynach wirtualnych na VMware ESXi (także w ramach VMware Cloud Foundation) lub używają VMware Workstation. Werdykt: jeśli serwer ESXi nie ma kompilacji ESXi80U3d-24585383, ESXi80U2d-24585300 lub ESXi70U3s-24585291 (albo nowszej), a Workstation wersji 17.6.3, zaplanuj aktualizację w ciągu kilku dni, bo luka pozwala wyjść z jednej maszyny wirtualnej na serwer obsługujący wszystkie pozostałe, jest wykorzystywana w atakach i nie ma obejścia.
Amerykańska agencja CISA 4 marca 2025 roku, w dniu publikacji komunikatu producenta, dopisała podatność CVE-2025-22224 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiły tam dwie pozostałe luki z tego samego komunikatu: CVE-2025-22225 (dowolny zapis w ESXi, w katalogu CISA oznaczona jako używana w kampaniach ransomware) i CVE-2025-22226 (ujawnienie zawartości pamięci).
Błąd to wyścig typu „sprawdzenie w innym momencie niż użycie”, który prowadzi do zapisu poza wyznaczonym obszarem pamięci. Napastnik z uprawnieniami administratora wewnątrz maszyny wirtualnej może wykonać kod jako proces VMX tej maszyny na serwerze fizycznym. Lukę zgłosiło centrum analizy zagrożeń Microsoftu. Producent potwierdził wykorzystywanie i stwierdził, że obejść nie ma.
Termin naprawy wyznaczony przez CISA minął 25 marca 2025 roku, prawie półtora roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-22224 |
Data dodania do CISA KEV | 2025-03-04 |
Termin naprawy wg CISA | 2025-03-25 (21 dni od wpisu) |
Produkt | VMware ESXi i VMware Workstation (Broadcom); także VMware Cloud Foundation 5.x i 4.5.x, Telco Cloud Platform, Telco Cloud Infrastructure |
Wersje zagrożone | ESXi 8.0 do Update 3c i ESXi 7.0 do Update 3r bez poprawki; Workstation 17.0 do 17.6.2. Atak wymaga uprawnień administratora wewnątrz maszyny wirtualnej |
Wersje bezpieczne | ESXi 8.0: ESXi80U3d-24585383 lub ESXi80U2d-24585300. ESXi 7.0: ESXi70U3s-24585291. Workstation: 17.6.3. Cloud Foundation: łatka do odpowiedniej kompilacji ESXi; Telco Cloud: wg osobnego artykułu bazy wiedzy producenta. Nowsze kompilacje również zawierają poprawkę |
Typ podatności | Ucieczka z maszyny wirtualnej przez wyścig TOCTOU i zapis poza zakresem (przepełnienie sterty); CWE-367 |
Ocena CVSS | VMware: 9.3 KRYTYCZNA (CVSS 3.1, bez wymaganych uprawnień). NVD: 8.2 WYSOKA (CVSS 3.1, wysokie uprawnienia). ENISA przyjęła 9.3. Obie oceny: atak lokalny z maszyny wirtualnej, zmiana zakresu, pełny wpływ |
Wyobraź sobie kasjera w banku, który sprawdza kwotę na poleceniu wypłaty, uznaje ją za poprawną, odkłada dokument i idzie do sejfu. W tych kilku sekundach klient dopisuje na formularzu zero. Kasjer wraca i wypłaca kwotę z formularza. Kontrola była poprawna, zawiódł odstęp między kontrolą a wykonaniem.
Tak działa ta luka. Serwer fizyczny z VMware dzieli się na maszyny wirtualne: księgowość, sklep, system handlowców. Cała konstrukcja zakłada, że to, co dzieje się w jednej maszynie, zostaje w niej. Ten błąd znosi tę granicę: administrator jednej maszyny (także przejęty serwer testowy) może wykonać kod po stronie serwera fizycznego, który widzi wszystkie maszyny.
💡 Maszyna wirtualna to „udawany” serwer działający obok innych na jednym fizycznym komputerze. ESXi (hipernadzorca) to system zarządzający maszynami wirtualnymi na serwerze. Proces VMX to program na serwerze fizycznym obsługujący jedną maszynę wirtualną. TOCTOU to błąd, w którym stan zmienia się między sprawdzeniem a użyciem. Numer kompilacji (build) to dokładny identyfikator zainstalowanej wersji.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator maszyny testowej | Rządzi tylko swoją maszyną | Może wykonać kod na serwerze fizycznym |
Pozostałe maszyny (księgowość, sklep) | Odizolowane od siebie | Osiągalne z serwera fizycznego |
Kopie zapasowe na tym samym serwerze | Oddzielone od maszyn produkcyjnych | W zasięgu napastnika |
Ochrona zaporą lub ustawieniem | Często dostępna jako obejście | Brak obejścia, tylko aktualizacja |
„Mało ważny” serwer testowy | Niskie ryzyko | Wejście do wszystkich systemów |
źródło: Pexels, Magda EhlersPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa przez internet: napastnik musi najpierw zdobyć uprawnienia administratora w jednej maszynie wirtualnej. CISA ocenia atak jako nieautomatyzowalny, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do maszyny | T+0 | Przejęcie konta administratora w jednej maszynie wirtualnej (np. serwer testowy, konto podwykonawcy) | Kontrola nad jedną maszyną |
2. Ucieczka | T+minuty | Wykorzystanie wyścigu w procesie VMX | Kod napastnika działa na serwerze fizycznym |
3. Rozszerzenie | T+godziny | Połączenie z innymi lukami z tego samego komunikatu (dowolny zapis, wyciek pamięci) | Pełna kontrola nad hipernadzorcą |
4. Dostęp do maszyn | T+1 dzień | Odczyt lub modyfikacja dysków wszystkich maszyn wirtualnych | Dostęp do księgowości, sklepu, kopii |
5. Przygotowanie | T+dni | Kradzież danych, usunięcie kopii zapasowych na tym samym sprzęcie | Brak drogi odtworzenia |
6. Skutek | T+tygodnie | Szyfrowanie wszystkich maszyn wirtualnych jednocześnie | Przestój całej firmy |
Mogę Ci jakoś pomóc?
Wirtualizacja opiera się na izolacji maszyn. Luka ją znosi, więc najsłabiej chroniona maszyna wirtualna staje się wejściem do wszystkich pozostałych. Brak obejścia oznacza, że jedyną ochroną jest aktualizacja hipernadzorcy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie wszystkich maszyn wirtualnych, odbudowa serwera od zera | Dni | 100 tys. do 800 tys. PLN |
Bezpieczeństwo danych | Dostęp do dysków wszystkich maszyn, w tym księgowości i danych klientów | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, wymiana infrastruktury, specjaliści, utracona sprzedaż | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Długi przestój, wyciek danych | Miesiące | 100 tys. do 1 mln PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); obowiązki zgłoszenia incydentu dla podmiotów objętych przepisami o cyberbezpieczeństwie | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla VMware ESXi / Workstation
bez poprawionej kompilacji
Wpływ
5 | . . ■ . . ← WYSOKIE / KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (przejęcie serwera obsługującego wszystkie maszyny), a prawdopodobieństwo średnie, bo napastnik musi najpierw mieć administratora w jednej maszynie; w firmach, gdzie maszynami zarządzają podwykonawcy lub działają w nich systemy dostępne dla wielu osób, ryzyko jest krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać numer kompilacji każdego hosta ESXi i wersję Workstation, porównać znak po znaku z listą poprawionych | Dziś | Administrator wirtualizacji |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy firma używa VMware Cloud Foundation lub Telco Cloud, które zawierają ESXi | Dziś | CTO / administrator |
3 | 🟠 PILNIE | Zainstalować poprawione kompilacje ESXi i Workstation 17.6.3 (zamyka też CVE-2025-22225 i CVE-2025-22226) | Do 3 dni | Administrator wirtualizacji / partner |
4 | 🟠 PILNIE | Spisać, kto ma uprawnienia administratora wewnątrz każdej maszyny wirtualnej, i odebrać zbędne | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | Upewnić się, że kopie zapasowe leżą poza tym samym serwerem fizycznym | Do 7 dni | Administrator kopii |
6 | 🟠 PILNIE | Przejrzeć logi hostów ESXi pod kątem nietypowych zdarzeń od marca 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Przenieść maszyny testowe i dostępne dla podwykonawców na osobny host | Do 30 dni | CTO |
Producent stwierdził wprost, że obejść nie ma: problemu nie da się wyłączyć ustawieniem ani ograniczyć zaporą. Poniższe miary tylko zmniejszają szansę zdobycia administratora w maszynie wirtualnej i ograniczają skutki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie uprawnień administratora w maszynach wirtualnych do niezbędnych osób | Średnia | Łatwa |
Maszyny dostępne dla podwykonawców i testowe na osobnym serwerze fizycznym | Średnia do wysokiej: ogranicza zasięg ucieczki | Średnia |
Kopie zapasowe poza serwerem wirtualizacji, najlepiej odseparowane | Wysoka dla możliwości odtworzenia | Średnia |
Monitorowanie logów hostów ESXi | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Izolacja maszyn wirtualnych | Do obejścia przez administratora jednej maszyny | Przywrócona poprawką |
Numer kompilacji ESXi | Nieznany lub „8.0” | Zweryfikowany co do znaku |
Uprawnienia w maszynach | Szerokie, także dla podwykonawców | Ograniczone i spisane |
Kopie zapasowe | Na tym samym serwerze | Poza serwerem wirtualizacji |
Zgodność z terminem CISA | Zaległość od 25 marca 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i przez producenta) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Dla tej luki brak potwierdzenia (CISA: Unknown); powiązana CVE-2025-22225 z tego samego komunikatu ma w KEV oznaczenie Known |
Ocena CVSS | 9.3 KRYTYCZNA (VMware, CVSS 3.1); 8.2 WYSOKA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Centrum analizy zagrożeń Microsoftu (zgłoszenie prywatne) |
Prognoza EPSS | Około 0,016, percentyl 0,733 (wg analizy źródłowej); typowy dla luk wymagających wcześniejszego dostępu |
Inne rejestry | Europejska baza ENISA: EUVD-2025-7603 (ocena krytyczna) |
Sygnały zagrożenia dla CVE-2025-22224
CVSS 3.1 (VMware) 9.3/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (NVD) 8.2/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
EPSS (wg źródła) ~1,6% ░░░░░░░░░░░░░░░░░░░░ wymaga dostępu do VM
Mogę Ci jakoś pomóc?
przed 2025-03 Microsoft zgłasza lukę producentowi, ataki w toku
2025-03-04 Komunikat Broadcom/VMware z poprawkami, publikacja CVE
2025-03-04 CISA dodaje CVE-2025-22224, -22225 i -22226 do KEV
2025-03-05 CISA ocenia: aktywne wykorzystanie, skutek całkowity
2025-03-25 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Broadcom/VMware z numerami kompilacji: Security Advisory 25390 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-22224 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca IT używa VMware ESXi, Cloud Foundation lub Workstation | CTO | DZISIAJ |
2 | Uzyskać listę hostów z dokładnymi numerami kompilacji | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację hostów | CTO | DO JUTRA |
4 | Uzyskać listę osób i firm z uprawnieniami administratora w maszynach wirtualnych | CTO | DO JUTRA |
5 | Sprawdzić, czy licencja i umowa wsparcia pozwalają pobrać poprawki od Broadcom | CFO | DO JUTRA |
6 | Zarezerwować budżet na osobny host dla maszyn testowych i kopii poza serwerem | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące infrastruktury wirtualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki dokładny numer kompilacji ma każdy host ESXi? | [kompilacja] | 🔴 |
2 | Czy używamy VMware Workstation i w jakiej wersji? | [wersja] | 🔴 |
3 | Kiedy zainstalowano poprawki z komunikatu z marca 2025? | [data] | 🔴 |
4 | Kto ma uprawnienia administratora wewnątrz maszyn wirtualnych? | [lista] | 🟠 |
5 | Czy kopie zapasowe są przechowywane poza serwerem wirtualizacji? | TAK / NIE | 🟠 |
6 | Czy maszyny testowe i podwykonawców działają na tym samym hoście co produkcja? | TAK / NIE | 🟡 |
7 | Czy mamy dostęp do poprawek w ramach aktualnej umowy z Broadcom? | TAK / NIE | 🟡 |
CVE-2025-22224 pozwala administratorowi jednej maszyny wirtualnej wyjść na serwer fizyczny VMware ESXi lub Workstation i sięgnąć do wszystkich pozostałych maszyn. Luka jest wykorzystywana w atakach, producent nie podaje obejścia, a termin CISA minął w marcu 2025 roku. Instalacja poprawionych kompilacji, ograniczenie uprawnień w maszynach i kopie poza serwerem wirtualizacji zamykają to ryzyko.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.