CVE-2025-22226
VMware ESXi, Workstation, and Fusion Information Disclosure Vulnerability
Beschreibung
CVE-2025-22226 ist eine schwerwiegende Informationsoffenlegungsschwachstelle in VMware ESXi, Workstation und Fusion. Die Schwachstelle basiert auf einem Out-of-Bounds-Read im HGFS-Subsystem (Host-Guest File System), durch den ein Angreifer mit administrativen Rechten auf einer virtuellen Maschine Speicherinhalte des VMX-Prozesses auf dem Host auslesen kann. Mit einem CVSS v3.1-Score von 7.1 (HIGH) stellt diese Schwachstelle ein erhebliches Risiko fuer virtualisierte Infrastrukturen dar.
Die CISA hat CVE-2025-22226 in den KEV-Katalog aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestaetigt. Die Behebungsfrist ist auf den 25. Maerz 2025 festgelegt. Der EPSS-Score von 6.70 % (91.1. Perzentil) zeigt eine ueberdurchschnittlich hohe Ausnutzungswahrscheinlichkeit. Diese Schwachstelle wird haeufig in Kombination mit CVE-2025-22224 und CVE-2025-22225 als Teil einer Angriffskette gegen VMware-Virtualisierungsumgebungen ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | esxi | 7.0; 8.0 |
| vmware | cloud foundation | - |
| vmware | fusion | >= 13.0.0, < 13.6.3 |
| vmware | telco cloud infrastructure | 2.2; 2.5; 2.7; 3.0 |
| vmware | telco cloud platform | 2.0; 2.5; 2.7; 3.0; 4.0; 4.0.1; 5.0 |
| vmware | workstation | >= 17.0, < 17.6.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Referenzen
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2025-22226 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um einen Out-of-Bounds Read im HGFS-Subsystem von VMware. Bei dieser Art von Schwachstelle liest die Software Daten aus einem Speicherbereich, der ausserhalb der vorgesehenen Puffergrenzen liegt. Dies fuehrt zur Offenlegung von sensiblen Informationen aus dem Speicher des VMX-Prozesses, der die virtuelle Maschine auf dem Host verwaltet.
Die Schwachstelle ist funktional vergleichbar mit CWE-125 (Out-of-bounds Read), bei der eine Software ueber die Grenzen eines Speicherpuffers hinaus liest und dadurch vertrauliche Daten preisgeben kann.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-22226 konzentrieren sich primaer auf die Vertraulichkeit virtualisierter Infrastrukturen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N verdeutlicht die spezifische Bedrohungslage. Vertraulichkeit (Hoch): Durch den Out-of-Bounds-Read im HGFS-Subsystem kann ein Angreifer sensible Informationen aus dem Speicher des VMX-Prozesses extrahieren. Dies umfasst potenziell kryptografische Schluessel, Konfigurationsdaten anderer virtueller Maschinen und Zugangsdaten des Hosts. Integritaet und Verfuegbarkeit: Beide Metriken sind nicht direkt betroffen (I:N/A:N), was die Schwachstelle als reinen Informationsleak klassifiziert.
Besonders kritisch ist der Scope-Wechsel (S:C), der bedeutet, dass die Schwachstelle ueber die Grenzen der virtuellen Maschine hinaus auf den Host-Kontext uebergreift. In Kombination mit CVE-2025-22224 und CVE-2025-22225 kann diese Schwachstelle als Teil einer vollstaendigen VM-Escape-Angriffskette genutzt werden. Der EPSS-Score von 6.70 % (91.1. Perzentil) signalisiert eine deutlich erhoehte Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2025-22226 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der EPSS-Score von 6.70 % (91.1. Perzentil) platziert diese Schwachstelle deutlich ueber dem Durchschnitt hinsichtlich der Ausnutzungswahrscheinlichkeit.
Die Schwachstelle wurde gemeinsam mit CVE-2025-22224 und CVE-2025-22225 als Teil einer koordinierten Angriffskette gegen VMware-Virtualisierungsumgebungen offengelegt. Broadcom/VMware hat am 4. Maerz 2025 eine Sicherheitsempfehlung veroeffentlicht (VMSA-2025-0004). Die gleichzeitige Ausnutzung mehrerer VMware-Schwachstellen deutet auf einen fortgeschrittenen Bedrohungsakteur hin. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
VMware-Patches sofort installieren: Aktualisieren Sie VMware Workstation auf Version 17.6.3 oder hoeher und VMware Fusion auf Version 13.6.3 oder hoeher. Fuer ESXi 7.0 und 8.0 installieren Sie die entsprechenden Sicherheitspatches gemaess VMSA-2025-0004. VMware Cloud Foundation-Nutzer muessen die Async-Patches anwenden.
-
Alle drei VMware-Schwachstellen gemeinsam patchen: CVE-2025-22226 wird in Kombination mit CVE-2025-22224 und CVE-2025-22225 ausgenutzt. Stellen Sie sicher, dass alle drei Schwachstellen gleichzeitig behoben werden, um die vollstaendige Angriffskette zu unterbrechen.
-
VM-Administratorrechte einschraenken: Ueberpruefen und minimieren Sie die Vergabe administrativer Rechte auf virtuellen Maschinen. Implementieren Sie das Prinzip der geringsten Berechtigung, da die Ausnutzung administrative VM-Rechte erfordert.
-
Netzwerksegmentierung ueberpruefen: Isolieren Sie Management-Netzwerke fuer ESXi-Hosts vom allgemeinen Netzwerk. Beschraenken Sie den Zugriff auf vCenter und ESXi-Management-Interfaces auf autorisierte Administratoren.
-
Monitoring und Forensik: Ueberpruefen Sie ESXi-Hostlogs und VMX-Prozessaktivitaeten auf Anzeichen einer Kompromittierung. Achten Sie auf ungewoehnliche Speicherzugriffsmuster und HGFS-Aktivitaeten, die auf eine Ausnutzung hindeuten koennten.
Technische Details
CVE-2025-22226 betrifft das Host-Guest File System (HGFS) in VMware ESXi, Workstation und Fusion. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N zeigt, dass der Angriff lokal (AV:L) mit niedriger Komplexitaet (AC:L) und ohne Benutzerinteraktion (UI:N) durchfuehrbar ist. Die Scope-Aenderung (S:C) ist hier besonders relevant, da die Schwachstelle von der virtuellen Maschine auf den Host uebergreift.
Die Schwachstelle liegt im HGFS-Subsystem, das die Dateisystemkommunikation zwischen Gast- und Host-Betriebssystem ermoeglicht. Ein Out-of-Bounds-Read tritt auf, wenn das HGFS-Modul Speicherbereiche liest, die ueber die vorgesehenen Puffergrenzen hinausgehen. Ein Angreifer mit administrativen Rechten innerhalb einer virtuellen Maschine kann diese Schwachstelle ausnutzen, um Speicherinhalte des VMX-Prozesses auf dem Host auszulesen. Der VMX-Prozess ist fuer die Emulation und Verwaltung der virtuellen Maschine verantwortlich und enthaelt sensitive Informationen wie Konfigurationsdaten, Speicherabbilder und potenziell kryptografische Schluessel.
Betroffen sind VMware ESXi 7.0 und 8.0, VMware Cloud Foundation, VMware Workstation ab Version 17.0 (vor 17.6.3), VMware Fusion ab Version 13.0.0 (vor 13.6.3) sowie VMware Telco Cloud Infrastructure und Platform in verschiedenen Versionen.
Häufig gestellte Fragen
Wird CVE-2025-22226 aktiv ausgenutzt?
Ja, CVE-2025-22226 wird aktiv in freier Wildbahn ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestaetigt. Sie wird typischerweise in Kombination mit CVE-2025-22224 und CVE-2025-22225 als Teil einer mehrstufigen Angriffskette gegen VMware-Umgebungen eingesetzt.
Welche Daten koennen durch CVE-2025-22226 offengelegt werden?
Durch die Out-of-Bounds-Read-Schwachstelle im HGFS-Subsystem koennen Speicherinhalte des VMX-Prozesses auf dem Host ausgelesen werden. Dies kann kryptografische Schluessel, Konfigurationsdaten anderer virtueller Maschinen, Speicherabbilder und Zugangsdaten umfassen. Die ausgelesenen Informationen koennen als Grundlage fuer weitergehende Angriffe auf die Host-Infrastruktur dienen.
Wie behebe ich CVE-2025-22226?
Installieren Sie die von Broadcom/VMware bereitgestellten Sicherheitspatches gemaess VMSA-2025-0004. Aktualisieren Sie VMware Workstation auf Version 17.6.3 oder hoeher und Fusion auf Version 13.6.3 oder hoeher. Fuer ESXi-Hosts wenden Sie die entsprechenden Patches fuer Ihre Version an. Patchen Sie gleichzeitig auch CVE-2025-22224 und CVE-2025-22225.
Warum ist der Scope-Wechsel bei CVE-2025-22226 kritisch?
Der Scope-Wechsel (S:C im CVSS-Vektor) bedeutet, dass die Schwachstelle ueber die Sicherheitsgrenzen der virtuellen Maschine hinaus auf den Host uebergreift. Ein Angreifer kann aus der VM heraus sensible Daten des Host-Systems auslesen, was die Grundlage fuer einen vollstaendigen VM-Escape bildet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.