CVE-2025-22224
VMware ESXi and Workstation TOCTOU Race Condition Vulnerability
Beschreibung
CVE-2025-22224 ist eine kritische TOCTOU-Schwachstelle (Time-of-Check Time-of-Use) in VMware ESXi und Workstation, die zu einem Out-of-Bounds-Write fuehrt. Ein Angreifer mit lokalen administrativen Rechten auf einer virtuellen Maschine kann diese Schwachstelle ausnutzen, um Code als VMX-Prozess auf dem Host auszufuehren. Mit einem CVSS v3.1-Score von 9.3 (CRITICAL) ist dies die schwerwiegendste Schwachstelle in der VMware-Angriffskette vom Maerz 2025.
Die CISA hat CVE-2025-22224 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der ausserordentlich hohe EPSS-Score von 59.97 % (98.2. Perzentil) platziert diese Schwachstelle unter den Top 2 % der am intensivsten ausgenutzten Schwachstellen weltweit. Sie bildet den primaeren Einstiegspunkt der Angriffskette gemeinsam mit CVE-2025-22225 und CVE-2025-22226.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | esxi | 7.0; 8.0 |
| vmware | cloud foundation | - |
| vmware | telco cloud infrastructure | 2.2; 2.5; 2.7; 3.0 |
| vmware | telco cloud platform | 2.0; 2.5; 2.7; 3.0; 4.0; 4.0.1; 5.0 |
| vmware | workstation | >= 17.0, < 17.6.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2025-22224 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um eine TOCTOU-Schwachstelle (Time-of-Check Time-of-Use), die zu einem Out-of-Bounds-Write fuehrt. Bei einer TOCTOU-Schwachstelle (funktional vergleichbar mit CWE-367) existiert ein Zeitfenster zwischen der Ueberpruefung einer Bedingung und der anschliessenden Nutzung des Ergebnisses, in dem ein Angreifer den ueberprueften Zustand veraendern kann.
Der resultierende Out-of-Bounds-Write (vergleichbar mit CWE-787) ermoeglicht es dem Angreifer, Daten ausserhalb der vorgesehenen Puffergrenzen zu schreiben, was zur Ausfuehrung von beliebigem Code im Kontext des VMX-Prozesses fuehrt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-22224 sind aufgrund des kritischen CVSS-Scores und der Rolle als Einstiegspunkt der VM-Escape-Kette ausserordentlich schwerwiegend. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt die maximale Bedrohungslage. Vertraulichkeit (Hoch): Der Angreifer erhaelt als VMX-Prozess Zugriff auf sensible Host-Daten, Speicherinhalte anderer VMs und Konfigurationsinformationen. Integritaet (Hoch): Durch die Codeausfuehrung im VMX-Prozess kann der Angreifer VM-Konfigurationen manipulieren, Daten veraendern und Schadsoftware einschleusen. Verfuegbarkeit (Hoch): Der Angreifer kann den VMX-Prozess und damit die betroffene VM sowie potenziell den gesamten Host destabilisieren.
Der Scope-Wechsel (S:C) bedeutet, dass der Angriff von der virtuellen Maschine auf den Host-Kontext uebergreift. Ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) ist die Einstiegshuerde besonders niedrig. Der EPSS-Score von 59.97 % (98.2. Perzentil) ist ausserordentlich hoch und signalisiert, dass diese Schwachstelle zu den am aktivsten ausgenutzten weltweit gehoert. Der Ransomware-Status ist als Unknown klassifiziert, wobei die verwandte CVE-2025-22225 bestaetigt in Ransomware-Kampagnen eingesetzt wird.
Exploit-Reifegrad
CVE-2025-22224 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der EPSS-Score von 59.97 % (98.2. Perzentil) ist einer der hoechsten ueberhaupt und platziert diese Schwachstelle unter den Top 2 % der am intensivsten ausgenutzten Schwachstellen weltweit.
Broadcom/VMware hat am 4. Maerz 2025 die Sicherheitsempfehlung VMSA-2025-0004 veroeffentlicht. Die Schwachstelle dient als primaerer Einstiegspunkt der Angriffskette, bei der anschliessend CVE-2025-22225 fuer den Kernel-Write und CVE-2025-22226 fuer die Informationsexfiltration genutzt werden. Die Kombination dieser drei Schwachstellen ermoeglicht einen vollstaendigen VM-Escape, was auf einen hochentwickelten Bedrohungsakteur mit tiefgreifendem Wissen ueber VMware-Interna hindeutet. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Sofortige Patch-Installation: Aktualisieren Sie VMware Workstation auf Version 17.6.3 oder hoeher. Fuer VMware ESXi 7.0 und 8.0 installieren Sie die Sicherheitspatches gemaess VMSA-2025-0004. VMware Cloud Foundation-Nutzer muessen die Async-Patches anwenden. Die KEV-Behebungsfrist ist der 25. Maerz 2025.
-
Vollstaendige Angriffskette unterbrechen: CVE-2025-22224 ist der Einstiegspunkt einer mehrstufigen Angriffskette. Patchen Sie gleichzeitig CVE-2025-22225 und CVE-2025-22226, um alle Angriffsschritte zu blockieren. Aktualisieren Sie auch VMware Fusion auf Version 13.6.3.
-
VM-Zugriff restriktiv konfigurieren: Beschraenken Sie lokale administrative Rechte auf virtuellen Maschinen auf das notwendige Minimum. Implementieren Sie Role-Based Access Control (RBAC) in vCenter und ueberpruefen Sie alle bestehenden Berechtigungszuweisungen.
-
Netzwerk- und Zugriffssicherheit haerten: Segmentieren Sie ESXi-Management-Netzwerke vollstaendig vom Produktionsnetzwerk. Implementieren Sie Multi-Faktor-Authentifizierung fuer alle vCenter- und ESXi-Zugriffe. Beschraenken Sie den SSH-Zugang zu ESXi-Hosts auf autorisiertes Personal.
-
Umfassende Ueberwaachung etablieren: Implementieren Sie Monitoring fuer VMX-Prozessanomalien, ungewoehnliche Speicherzugriffsmuster und verdaechtige VM-Operationen. Integrieren Sie ESXi-Logs in Ihr SIEM-System und erstellen Sie Alarmregeln fuer Anzeichen einer VM-Escape-Attacke.
Technische Details
CVE-2025-22224 ist eine TOCTOU-Schwachstelle (Time-of-Check Time-of-Use) in VMware ESXi und Workstation. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt einen kritischen Angriff mit lokalem Zugang (AV:L), niedriger Komplexitaet (AC:L), ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) und mit Scope-Wechsel (S:C).
Die TOCTOU-Schwachstelle entsteht durch ein Zeitfenster zwischen der Validierung (Check) eines Speicherzugriffs und dessen tatsaechlicher Durchfuehrung (Use). Ein Angreifer mit lokalen administrativen Rechten auf einer virtuellen Maschine kann dieses Zeitfenster ausnutzen, um die geprueften Bedingungen nach der Validierung zu aendern. Dies fuehrt zu einem Out-of-Bounds-Write, bei dem Daten ueber die vorgesehenen Puffergrenzen hinaus in den Speicher des VMX-Prozesses geschrieben werden. Der VMX-Prozess laeuft auf dem Host und ist fuer die Verwaltung der virtuellen Maschine verantwortlich, wodurch die Codeausfuehrung direkt auf Host-Ebene stattfindet.
Betroffen sind VMware ESXi 7.0 und 8.0, VMware Cloud Foundation, VMware Workstation ab Version 17.0 (vor 17.6.3) sowie VMware Telco Cloud Infrastructure und Platform in verschiedenen Versionen. Der nahezu perfekte CVSS-Score von 9.3 spiegelt wider, dass bis auf den lokalen Zugriffsvektor alle Metriken die maximale Schwere aufweisen.
Häufig gestellte Fragen
Wie kritisch ist CVE-2025-22224?
CVE-2025-22224 ist mit einem CVSS-Score von 9.3 als CRITICAL eingestuft und gehoert zu den schwerwiegendsten VMware-Schwachstellen ueberhaupt. Der EPSS-Score von 59.97 % (98.2. Perzentil) bedeutet, dass sie zu den Top 2 % der am aktivsten ausgenutzten Schwachstellen weltweit zaehlt. Sie ermoeglicht Codeausfuehrung auf dem Host-System aus einer virtuellen Maschine heraus.
Was ist eine TOCTOU-Schwachstelle?
TOCTOU steht fuer Time-of-Check Time-of-Use und beschreibt eine Race-Condition-Schwachstelle. Zwischen dem Zeitpunkt, an dem eine Bedingung ueberprueft wird (Check), und dem Zeitpunkt, an dem das Ergebnis verwendet wird (Use), existiert ein Zeitfenster, in dem ein Angreifer den ueberprueften Zustand aendern kann. Im Fall von CVE-2025-22224 fuehrt dies zu einem Out-of-Bounds-Write im VMX-Prozess.
Wie behebe ich CVE-2025-22224?
Installieren Sie die Sicherheitspatches gemaess VMSA-2025-0004 von Broadcom/VMware. Aktualisieren Sie VMware Workstation auf Version 17.6.3, VMware Fusion auf 13.6.3 und wenden Sie die ESXi-Patches fuer Version 7.0 und 8.0 an. Patchen Sie gleichzeitig auch CVE-2025-22225 und CVE-2025-22226, um die gesamte Angriffskette zu unterbrechen.
Kann CVE-2025-22224 ohne Authentifizierung ausgenutzt werden?
Laut CVSS-Vektor erfordert die Schwachstelle keine Authentifizierung (PR:N), jedoch lokalen Zugriff (AV:L) auf die virtuelle Maschine. In der Praxis bedeutet dies, dass ein Angreifer zunaechst administrative Rechte auf einer VM erlangen muss, was beispielsweise durch die Kompromittierung eines Gastbetriebssystems geschehen kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.