Luka w wykrywaniu usług VMware Tools i Aria Operations pozwala użytkownikowi bez uprawnień przejąć maszynę wirtualną. Wykorzystywana jako zero-day przez UNC5174. Zaktualizuj narzędzia lub wyłącz wykrywanie usług.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują serwery na maszynach wirtualnych VMware i monitorują je przez VMware Aria Operations z funkcją wykrywania usług (SDMP). Werdykt: jeśli VMware Tools lub open-vm-tools na maszynach i Aria Operations nie mają wersji z poprawką, zaktualizuj je w tym tygodniu, a gdzie to niemożliwe, wyłącz wykrywanie usług, bo luka była wykorzystywana przez grupę powiązaną z państwem chińskim.
Amerykańska agencja CISA 30 października 2025 roku dopisała CVE-2025-41244 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy funkcji wykrywania usług w VMware Tools i VMware Aria Operations (Broadcom). Użytkownik bez uprawnień administratora na maszynie wirtualnej może sprawić, że procedura wykrywania, działająca z najwyższymi uprawnieniami, uruchomi jego program, co daje mu uprawnienia roota na tej maszynie.
Luka wymaga wcześniejszego dostępu do maszyny, więc nie jest drzwiami wejściowymi, tylko „windą na ostatnie piętro” dla kogoś, kto już wszedł. Według firmy NVISO, która ją zgłosiła, była wykorzystywana jako zero-day od połowy października 2024 roku przez grupę UNC5174. Termin CISA minął 20 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-41244 (biuletyn Broadcom VMSA-2025-0015) |
Data dodania do CISA KEV | 2025-10-30 |
Termin naprawy wg CISA | 2025-11-20 (21 dni od wpisu) |
Produkt | Broadcom VMware Tools (także open-vm-tools w dystrybucjach Linux) oraz VMware Aria Operations; pośrednio VMware Cloud Foundation i Telco Cloud |
Wersje zagrożone | VMware Tools 12.5.0 do 12.5.4 (bez niej) i 13.0.0.0 do 13.0.5.0 (bez niej); open-vm-tools od 11.2.0 do 12.5.4 (bez niej) oraz 13.0.0; Aria Operations 8.0 do 8.18.5 (bez niej); Cloud Foundation Operations 9.0; Cloud Foundation 4.0 do 5.2.2. Warunek: maszyna zarządzana przez Aria Operations z włączonym SDMP i lokalne konto napastnika |
Wersje bezpieczne | VMware Tools 12.5.4 i 13.0.5.0; Aria Operations 8.18.5 (także dla Cloud Foundation 4.x i 5.x); VCF Operations 9.0.1.0. Poprawione pakiety open-vm-tools: Ubuntu (29.09.2025), Red Hat Enterprise Linux 8, 9 i 10 (07.10.2025), Debian |
Typ podatności | Lokalne podniesienie uprawnień: procedura wykrywania usług uruchamia programy z katalogów zapisywalnych dla każdego; CWE-267 wg Broadcom i NVD (Red Hat klasyfikuje inaczej) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Broadcom; tę samą ocenę podają Red Hat i Canonical). Atak lokalny, niska złożoność, wymagane niskie uprawnienia, bez udziału użytkownika |
Wyobraź sobie biuro, w którym obowiązuje zasada: wieczorem ochroniarz z kluczami do wszystkich pomieszczeń obchodzi biuro i wykonuje polecenia z kopert wetkniętych za klamki drzwi, bo tak kierownicy zostawiają dyspozycje po godzinach. Działa to, dopóki koperty zostawiają tylko kierownicy. Gdy okazuje się, że kopertę może wetknąć każdy, kto wszedł do budynku, także kurier, ochroniarz zaczyna wykonywać cudze polecenia z pełnym kompletem kluczy.
Tak działa ta luka. Funkcja wykrywania usług regularnie sprawdza, jakie programy działają na maszynie i w jakich wersjach, a żeby poznać wersję, uruchamia znaleziony program. Nie sprawdzała, czy program leży w bezpiecznym miejscu. Wystarczyło, że zwykły użytkownik uruchomił własny program w katalogu na pliki tymczasowe, a procedura z uprawnieniami roota sama go wywoływała.
💡 Maszyna wirtualna (VM) to „komputer w komputerze”, czyli serwer uruchomiony programowo na fizycznej maszynie. VMware Tools / open-vm-tools to programy instalowane wewnątrz maszyny wirtualnej, które przekazują informacje do systemu zarządzania. SDMP to pakiet wykrywania usług w Aria Operations. Root to konto z pełną władzą nad systemem Linux. Podniesienie uprawnień to przejście ze zwykłego konta na administratora. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik włamuje się do aplikacji na koncie bez uprawnień | Jego możliwości kończą się na katalogu aplikacji | Po chwili ma uprawnienia roota na całej maszynie |
Wykrywanie usług przez Aria Operations | Raportuje wersje programów | Uruchamia program napastnika z najwyższymi uprawnieniami |
Hasła do bazy danych na maszynie | Dostępne tylko dla administratora | Dostępne dla napastnika |
Dzienniki zdarzeń | Rejestrują działania | Mogą zostać wyłączone lub wyczyszczone przez napastnika z uprawnieniami roota |
Konsola zarządzania po aktualizacji | Pokazuje wersje usług | Canonical ostrzega: po poprawce część informacji o wersjach może przestać się wyświetlać |
źródło: Pexels, HarunPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nie da się jej wykorzystać samym żądaniem z internetu, napastnik musi najpierw mieć konto lub możliwość uruchamiania poleceń na maszynie. CISA ocenia, że atak nie jest automatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T-godziny do dni | Wykorzystanie innej luki (np. w aplikacji WWW lub urządzeniu brzegowym) albo skradzionego hasła | Konto bez uprawnień na maszynie wirtualnej |
2. Przygotowanie | T+0 min | Umieszczenie programu o nazwie przypominającej usługę systemową w katalogu zapisywalnym, np. na pliki tymczasowe, i jego uruchomienie | Program czeka na „wykrycie” |
3. Wykrycie | T+minuty do godzin (zależnie od cyklu SDMP) | Procedura wykrywania usług uruchamia program, by poznać jego wersję | Kod napastnika działa jako root |
4. Utrwalenie | T+kilka minut | Dodanie kont, kluczy SSH, ukrytych usług; możliwe czyszczenie dzienników | Pełna, trwała kontrola nad maszyną |
5. Kradzież i rozszerzanie | T+dni do tygodni | Odczyt haseł i danych, przechodzenie na inne maszyny w tej samej sieci | Wyciek danych, szpiegostwo, szerszy atak |
Słowo „lokalna” brzmi uspokajająco, ale w prawdziwych atakach takie luki zamieniają drobne włamanie w pełne przejęcie serwera. Różnica w kosztach jest ogromna: bez tej luki wystarczy odtworzyć jedną aplikację, z nią trzeba odbudować całą maszynę i sprawdzić kopie zapasowe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa przejętych maszyn wirtualnych, weryfikacja kopii zapasowych, przestój usług | Dni od wykrycia | 30 tys. do 250 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Pełny dostęp do danych i haseł na maszynie, możliwe wyczyszczenie śladów | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, utracone przychody z usług | Tygodnie | 60 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, pytania partnerów i ubezpieczyciela | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z VMware Tools i Aria Operations (SDMP)
bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie maszyny), a prawdopodobieństwo średnie, bo napastnik musi najpierw zdobyć konto na maszynie, a luka dotyczy tylko środowisk z włączonym wykrywaniem usług; firmy bez Aria Operations z SDMP są poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa Aria Operations (lub VCF Operations) z pakietem wykrywania usług SDMP i które maszyny są nim objęte | Dziś | Administrator wirtualizacji |
2 | 🔴 NATYCHMIAST | Sprawdzić wersje VMware Tools i open-vm-tools na tych maszynach | Dziś | Administrator |
3 | 🟠 PILNIE | Zaktualizować VMware Tools do 12.5.4 lub 13.0.5.0, a na Linuksie open-vm-tools z repozytorium dystrybucji | Do 7 dni | Administrator |
4 | 🟠 PILNIE | Zaktualizować Aria Operations do 8.18.5 lub VCF Operations do 9.0.1.0 | Do 7 dni | Administrator / partner VMware |
5 | 🟠 PILNIE | Tam, gdzie aktualizacja musi poczekać: wyłączyć wykrywanie usług lub odinstalować podpakiet SDMP (obejście opisane przez Red Hat) | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Przejrzeć maszyny pod kątem nieznanych programów w katalogach tymczasowych, nowych kont i kluczy SSH | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Uprzedzić zespół, że po poprawce konsola może nie pokazywać wersji części usług | Przed aktualizacją | Kierownik IT |
8 | 🟡 WAŻNIE | Sprawdzić, czy maszyny wirtualne nie mają niezałatanych luk pozwalających na pierwsze wejście (aplikacje WWW, urządzenia brzegowe) | Do 30 dni | CTO |
Broadcom wydał poprawki dla VMware Tools i Aria Operations, a dystrybucje Linux dla open-vm-tools. W biuletynie producenta w rubryce obejść wpisano „brak”, ale Red Hat opisuje dwa sposoby zamknięcia drogi ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie wykrywania usług w konfiguracji narzędzi i restart (Red Hat) | Wysoka: usuwa mechanizm ataku | Łatwa, kosztem utraty podglądu wersji usług w konsoli |
Odinstalowanie podpakietu SDMP i restart (Red Hat) | Wysoka i trwalsza | Łatwa do średniej |
Ograniczenie liczby kont na maszynach i szybkie łatanie aplikacji dostępnych z internetu | Średnia: utrudnia pierwszy krok ataku | Średnia |
Monitorowanie uruchamiania programów z katalogów tymczasowych | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
VMware Tools / open-vm-tools | Wersja podatna | 12.5.4 / 13.0.5.0 lub poprawiony pakiet dystrybucji |
Aria Operations | Starsza niż 8.18.5 | 8.18.5 lub VCF Operations 9.0.1.0 |
Włamanie do aplikacji | Szybko zamienia się w przejęcie maszyny | Kończy się na koncie bez uprawnień |
Wiedza o śladach | Brak przeglądu | Maszyny sprawdzone, wynik udokumentowany |
Konsola zarządzania | Pełny podgląd wersji usług | Możliwy mniejszy podgląd, świadomie zaakceptowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Broadcom pisał o podejrzewanym wykorzystaniu; NVISO opisało wykorzystanie jako zero-day od połowy października 2024 roku |
Grupy przestępcze | UNC5174, według NVISO grupa powiązana z państwem chińskim; NVISO nie przesądza, czy luka była celowym elementem jej arsenału |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, Broadcom, Red Hat, Canonical) |
PoC dostępny publicznie? | TAK: NVISO opublikowało opis techniczny z kodem demonstracyjnym (NVD oznacza wpis jako zawierający kod ataku) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Maxime Thiebaut (NVISO), podczas obsługi incydentu |
Prognoza EPSS | Około 8% szansy wykorzystania w ciągu 30 dni (wg analizy źródłowej); niska wartość wynika z wymogu wcześniejszego dostępu do maszyny |
Sygnały zagrożenia dla CVE-2025-41244
CVSS 3.1 (Broadcom) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (analiza źr.) ~8% ██░░░░░░░░░░░░░░░░░░ NISKA
Wektor ataku LOKALNY ████████░░░░░░░░░░░░ wymaga wcześniejszego wejścia
CISA KEV TAK ████████████████████ ataki potwierdzone
Grupa państwowa UNC5174 ████████████████████ wg NVISO 2024-10 Początek wykorzystania jako zero-day (wg NVISO)
2025-05-19 NVISO zauważa anomalię podczas obsługi incydentu UNC5174
2025-05-27 NVISO zgłasza lukę do Broadcom
2025-09-29 Broadcom publikuje VMSA-2025-0015, NVD publikuje CVE,
NVISO publikuje analizę; poprawka Ubuntu
2025-10-07 Poprawki Red Hat Enterprise Linux 8, 9 i 10
2025-10-30 CISA dodaje lukę do katalogu KEV
2025-11-20 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Broadcom VMSA-2025-0015: support.broadcom.com, advisory 36149 . Analiza NVISO: blog.nviso.eu, CVE-2025-41244 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-41244 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca infrastruktury używa VMware Aria Operations z wykrywaniem usług | CTO | DZISIAJ |
2 | Uzyskać listę maszyn wirtualnych z wersjami VMware Tools / open-vm-tools | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie wykrywania usług tam, gdzie aktualizacja nie jest możliwa w tym tygodniu | CTO | DO JUTRA |
4 | Zatwierdzić okno serwisowe na aktualizację VMware Tools i Aria Operations | CTO | DO JUTRA |
5 | Zlecić przegląd maszyn pod kątem śladów włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z dostawcą hostingu lub wirtualizacji obejmuje aktualizacje narzędzi w maszynach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy VMware Aria Operations lub VCF Operations z pakietem wykrywania usług SDMP? | TAK / NIE | 🔴 |
2 | Jakie wersje VMware Tools lub open-vm-tools mają maszyny objęte monitorowaniem? | [wersje] | 🔴 |
3 | Jaka jest wersja Aria Operations? | [wersja] | 🟠 |
4 | Czy wykrywanie usług zostało wyłączone tam, gdzie nie ma jeszcze poprawki? | TAK / NIE | 🟠 |
5 | Czy sprawdziliśmy maszyny pod kątem nieznanych programów w katalogach tymczasowych i nowych kont? | TAK / NIE, [data] | 🟠 |
6 | Kiedy zainstalowano poprawki? | [data] | 🟠 |
7 | Które maszyny mają aplikacje dostępne z internetu, przez które napastnik mógłby wejść? | [lista] | 🟡 |
CVE-2025-41244 pozwala zwykłemu użytkownikowi maszyny wirtualnej VMware, monitorowanej przez Aria Operations z wykrywaniem usług, zostać administratorem tej maszyny. Luka była wykorzystywana jako zero-day przez grupę UNC5174, CISA potwierdza ataki, a poprawki są dostępne od września 2025 roku. Aktualizacja VMware Tools, open-vm-tools i Aria Operations w tym tygodniu, a do tego czasu wyłączenie wykrywania usług, zamyka tę drogę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.