CVE-2025-22225
VMware ESXi Arbitrary Write Vulnerability
Beschreibung
CVE-2025-22225 ist eine schwerwiegende Arbitrary-Write-Schwachstelle in VMware ESXi, die eine Sandbox-Escape-Attacke ermoeglicht. Ein Angreifer mit Privilegien innerhalb des VMX-Prozesses kann durch einen unkontrollierten Schreibvorgang beliebige Daten in den ESXi-Kernel schreiben und dadurch aus der Sandbox der virtuellen Maschine ausbrechen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.2 (HIGH) bewertet.
Die CISA hat CVE-2025-22225 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Besonders alarmierend ist die bestaetigte Nutzung in Ransomware-Kampagnen (Ransomware-Status: Known). Der EPSS-Score von 6.04 % (90.5. Perzentil) unterstreicht die erhoehte Ausnutzungswahrscheinlichkeit. Diese Schwachstelle wird gemeinsam mit CVE-2025-22224 und CVE-2025-22226 als Teil einer koordinierten Angriffskette gegen VMware-Virtualisierungsumgebungen ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | esxi | 7.0; 8.0 |
| vmware | cloud foundation | - |
| vmware | telco cloud infrastructure | 2.2; 2.5; 2.7; 3.0 |
| vmware | telco cloud platform | 2.0; 2.5; 2.7; 3.0; 4.0; 4.0.1; 5.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2025-22225 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um eine Arbitrary Write-Schwachstelle, bei der ein Angreifer unkontrolliert Daten an beliebige Speicheradressen im Kernel schreiben kann. Diese Art von Schwachstelle ist funktional vergleichbar mit CWE-787 (Out-of-bounds Write), da der Schreibvorgang ausserhalb der vorgesehenen Speichergrenzen erfolgt.
Die Moeglichkeit, beliebige Daten in den ESXi-Kernel zu schreiben, stellt eine besonders kritische Schwachstellenklasse dar, da sie die vollstaendige Kompromittierung des Hypervisors und damit aller auf dem Host laufenden virtuellen Maschinen ermoeglicht.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-22225 sind aufgrund der Sandbox-Escape-Faehigkeit besonders schwerwiegend. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H verdeutlicht die umfassende Bedrohungslage. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den vollstaendigen Zugriff auf alle Daten des ESXi-Hosts, einschliesslich der Speicherinhalte aller virtuellen Maschinen, Konfigurationsdaten und kryptografischer Schluessel. Integritaet (Hoch): Durch den Arbitrary-Write-Zugriff auf den Kernel kann der Angreifer beliebige Daten auf dem Host modifizieren, Schadsoftware persistent installieren und die Hypervisor-Konfiguration manipulieren. Verfuegbarkeit (Hoch): Der Angreifer kann den gesamten ESXi-Host und alle darauf laufenden virtuellen Maschinen zum Absturz bringen oder gezielt stoeren.
Der Scope-Wechsel (S:C) ist hier besonders kritisch, da der Angriff aus dem VMX-Prozess heraus die Grenzen der virtuellen Maschine vollstaendig durchbricht. Die bestaetigte Nutzung in Ransomware-Kampagnen macht diese Schwachstelle zu einer akuten Bedrohung fuer Unternehmen mit VMware-Infrastrukturen. Der EPSS-Score von 6.04 % (90.5. Perzentil) bestaetigt die ueberdurchschnittlich hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2025-22225 weist eine sehr hohe Exploit-Reife auf und ist eine der wenigen VMware-Schwachstellen mit bestaetigter Ransomware-Nutzung. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der Ransomware-Status ist als Known klassifiziert, was bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv in ihren Angriffsketten einsetzen.
Der EPSS-Score von 6.04 % (90.5. Perzentil) platziert diese Schwachstelle deutlich ueber dem Durchschnitt. Broadcom/VMware hat am 4. Maerz 2025 die Sicherheitsempfehlung VMSA-2025-0004 veroeffentlicht. Die Schwachstelle wird gemeinsam mit CVE-2025-22224 und CVE-2025-22226 als Teil einer mehrstufigen VM-Escape-Angriffskette ausgenutzt, was auf einen fortgeschrittenen und zielgerichteten Bedrohungsakteur hindeutet.
Behebung
-
ESXi-Patches unverzueglich installieren: Wenden Sie die Sicherheitspatches fuer VMware ESXi 7.0 und 8.0 gemaess VMSA-2025-0004 an. Fuer VMware Cloud Foundation nutzen Sie die entsprechenden Async-Patches. Gemaess KEV-Katalog muessen die Patches bis spaetestens 25. Maerz 2025 implementiert sein.
-
Gesamte Angriffskette adressieren: CVE-2025-22225 wird in Kombination mit CVE-2025-22224 und CVE-2025-22226 ausgenutzt. Patchen Sie alle drei Schwachstellen gleichzeitig, um die vollstaendige VM-Escape-Kette zu unterbrechen. Aktualisieren Sie VMware Workstation auf 17.6.3 und Fusion auf 13.6.3.
-
VMX-Prozess-Privilegien minimieren: Ueberpruefen Sie die Konfiguration der virtuellen Maschinen und reduzieren Sie die Rechte des VMX-Prozesses auf das notwendige Minimum. Deaktivieren Sie nicht benoetigte VM-Funktionen und Hardware-Passthrough, die den Angriffsvektor erweitern koennten.
-
Ransomware-Schutzmassnahmen verstaerken: Angesichts der bestaetigten Ransomware-Nutzung implementieren Sie zusaetzliche Schutzmassnahmen wie Offline-Backups aller ESXi-Konfigurationen und VM-Snapshots, Netzwerksegmentierung der Management-Interfaces und Multi-Faktor-Authentifizierung fuer vCenter-Zugriff.
-
Forensische Analyse durchfuehren: Untersuchen Sie alle ESXi-Hosts auf Anzeichen einer Kompromittierung. Pruefen Sie insbesondere Kernel-Module auf unautorisierte Aenderungen, den VMX-Prozessspeicher auf anomale Schreibzugriffe und SSH-Zugangslog sowie vCenter-Audit-Logs auf verdaechtige Aktivitaeten.
Technische Details
CVE-2025-22225 betrifft den VMX-Prozess in VMware ESXi, der fuer die Emulation und Verwaltung jeder einzelnen virtuellen Maschine verantwortlich ist. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff lokalen Zugriff (AV:L) mit hohen Privilegien (PR:H) innerhalb des VMX-Prozesses erfordert, jedoch keine Benutzerinteraktion (UI:N) noetig ist.
Die Schwachstelle ermoeglicht es einem Angreifer, der bereits Kontrolle ueber den VMX-Prozess erlangt hat (beispielsweise durch Ausnutzung von CVE-2025-22224), einen beliebigen Schreibvorgang im ESXi-Kernel auszuloesen. Dieser Arbitrary Write ermoeglicht die Manipulation von Kernel-Datenstrukturen, das Einschleusen von schadhaftem Code in den Kernel-Speicher und letztlich die vollstaendige Sandbox-Escape aus der virtuellen Maschine.
Der Scope-Wechsel (S:C) verdeutlicht, dass der Angriff die Sicherheitsgrenzen zwischen VMX-Prozess und ESXi-Kernel durchbricht. Alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des Hypervisors widerspiegelt. Die Kombination mit PR:H zeigt, dass der Angreifer zunaechst Privilegien innerhalb des VMX-Prozesses benoetigt, was die typische Angriffskette ueber CVE-2025-22224 als Einstiegspunkt erklaert. Betroffen sind VMware ESXi 7.0 und 8.0, VMware Cloud Foundation sowie VMware Telco Cloud Infrastructure und Platform in verschiedenen Versionen.
Häufig gestellte Fragen
Wird CVE-2025-22225 fuer Ransomware-Angriffe genutzt?
Ja, CVE-2025-22225 wird nachweislich in Ransomware-Kampagnen eingesetzt. Der Ransomware-Status im KEV-Katalog ist als Known klassifiziert, was die bestaetigte Nutzung durch Ransomware-Gruppen belegt. Die Schwachstelle ermoeglicht Angreifern, aus virtuellen Maschinen auszubrechen und den gesamten ESXi-Host zu kompromittieren, was eine Verschluesselung aller VMs auf dem Host ermoeglicht.
Wie haengt CVE-2025-22225 mit CVE-2025-22224 und CVE-2025-22226 zusammen?
Die drei Schwachstellen werden als koordinierte Angriffskette ausgenutzt. CVE-2025-22224 dient als Einstiegspunkt und ermoeglicht die Codeausfuehrung im VMX-Prozess. CVE-2025-22225 wird anschliessend genutzt, um aus dem VMX-Prozess in den ESXi-Kernel zu schreiben und die Sandbox zu verlassen. CVE-2025-22226 kann zusaetzlich zum Auslesen sensibler Host-Informationen verwendet werden.
Wie behebe ich CVE-2025-22225?
Installieren Sie die Sicherheitspatches fuer VMware ESXi 7.0 und 8.0 gemaess der Sicherheitsempfehlung VMSA-2025-0004 von Broadcom/VMware. Stellen Sie sicher, dass Sie gleichzeitig alle drei verwandten Schwachstellen (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226) patchen. Fuer Cloud Foundation-Umgebungen wenden Sie die entsprechenden Async-Patches an.
Welche Systeme sind von CVE-2025-22225 betroffen?
Betroffen sind VMware ESXi in den Versionen 7.0 und 8.0, VMware Cloud Foundation sowie VMware Telco Cloud Infrastructure (Versionen 2.2, 2.5, 2.7, 3.0) und VMware Telco Cloud Platform (Versionen 2.0 bis 5.0). VMware Workstation und Fusion sind von dieser spezifischen Schwachstelle nicht betroffen, sind jedoch von den verwandten CVEs in der Angriffskette betroffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.