CVE-2025-41244
Broadcom VMware Aria Operations and VMware Tools Privilege Defined with Unsafe Actions Vulnerability
Beschreibung
CVE-2025-41244 ist eine lokale Privilege-Escalation-Schwachstelle in VMware Aria Operations und VMware Tools, die es einem nicht-administrativen lokalen Benutzer ermoeglicht, Root-Rechte auf einer virtuellen Maschine zu erlangen. Die Schwachstelle tritt auf, wenn VMware Tools installiert und die VM von Aria Operations mit aktiviertem SDMP (Service Discovery and Dependency Mapping) verwaltet wird. Sie wird mit einem CVSS v3.1-Score von 7.8 (HIGH) bewertet.
Die CISA hat CVE-2025-41244 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 20. November 2025. Der EPSS-Score von 0.79 % (73.5. Perzentil) ist moderat, zeigt aber eine reale Ausnutzungswahrscheinlichkeit an. NVISO hat einen detaillierten Exploit veroeffentlicht. Die Schwachstelle betrifft ein breites Spektrum von Broadcom-Produkten, darunter Aria Operations, VMware Cloud Foundation, Open VM Tools und Telco Cloud-Produkte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | aria operations | >= 8.0, < 8.18.5 |
| vmware | cloud foundation | >= 4.0, <= 5.2.2 |
| vmware | cloud foundation operations | 9.0 |
| vmware | open vm tools | >= 11.2.0, < 12.5.4; 13.0.0 |
| vmware | telco cloud infrastructure | >= 2.2, <= 3.0 |
| vmware | telco cloud platform | >= 4.0, < 5.0.1 |
| debian | debian linux | 11.0 |
| vmware | tools | >= 12.5.0, < 12.5.4; >= 13.0.0.0, < 13.0.5.0 |
Referenzen
- http://support.broadcom.com/group/ecx/support-content-view/-/support-content/Security%20Advisories/VMSA-2025-0015--VMware-Aria-Operations-and-VMware-Tools-updates-address-multiple-vulnerabilities--CVE-2025-41244-CVE-2025-41245--CVE-2025-41246-/36149(Permissions Required)
- http://www.openwall.com/lists/oss-security/2025/09/29/10(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2025/10/msg00000.html(Mailing List, Third Party Advisory)
- https://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/(Exploit, Third Party Advisory)
- https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36149(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-41244(US Government Resource)
Schwachstellentyp
CWE-267: Privilege Defined With Unsafe Actions
CVE-2025-41244 basiert auf CWE-267 (Privilege Defined With Unsafe Actions), einer Schwachstellenklasse, bei der ein Programm Privilegien oder Berechtigungen definiert, die unsichere Aktionen ermoeglichen. Im Fall von VMware Tools wird ein Dienst mit erhoehten Rechten ausgefuehrt, der einem lokalen Benutzer mit niedrigen Privilegien den Zugang zu Operationen ermoeglicht, die normalerweise Root-Rechte erfordern.
Diese Schwachstellenklasse entsteht, wenn die Privilege-Separierung zwischen verschiedenen Sicherheitsdomaenen unzureichend ist. Der SDMP-Dienst (Service Discovery and Dependency Mapping) in VMware Tools laeuft mit erhoehten Privilegien und bietet Schnittstellen, die von nicht-privilegierten Benutzern missbraucht werden koennen, um eine Rechteausweitung auf Root-Ebene zu erreichen. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-41244 betreffen die Sicherheit virtueller Maschinen in VMware-Umgebungen. Vertraulichkeit: Ein Angreifer, der Root-Rechte auf einer VM erlangt, kann auf saemtliche Daten der virtuellen Maschine zugreifen, einschliesslich Anwendungsdaten, Konfigurationsdateien, Datenbanken und gespeicherte Zugangsdaten. In Unternehmensumgebungen enthalten VMs haeufig geschaeftskritische Anwendungen und sensible Daten.
Integritaet: Mit Root-Zugriff kann der Angreifer Systemdateien modifizieren, Backdoors installieren, Sicherheitsmechanismen deaktivieren und die VM-Konfiguration aendern. Die Manipulation des Betriebssystems auf Root-Ebene ermoeglicht persistente und schwer erkennbare Kompromittierungen.
Verfuegbarkeit: Der Angreifer kann die VM stoppen, Dateisysteme beschaedigen oder Ressourcen so beanspruchen, dass der Dienst nicht mehr verfuegbar ist. In Produktionsumgebungen kann dies zu erheblichen Geschaeftsunterbrechungen fuehren.
Der moderate EPSS-Score von 0.79 % reflektiert die Voraussetzung eines lokalen Zugangs (AV:L). Die KEV-Aufnahme bestaetigt jedoch die aktive Ausnutzung. Der Ransomware-Status ist als Unknown klassifiziert, jedoch sind Privilege-Escalation-Schwachstellen in VM-Umgebungen ein bekannter Baustein in Ransomware-Kampagnen gegen virtualisierte Infrastrukturen.
Exploit-Reifegrad
CVE-2025-41244 weist eine hohe Exploit-Reife mit oeffentlich verfuegbarem Exploit auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 20. November 2025. Der EPSS-Score von 0.79 % (73.5. Perzentil) ist moderat, was die Voraussetzung eines lokalen Zugangs widerspiegelt.
NVISO hat einen detaillierten Blog-Beitrag mit Exploit-Details veroeffentlicht, der den Angriffsweg ueber den SDMP-Dienst beschreibt. Die Verfuegbarkeit dieser technischen Analyse erleichtert die Reproduktion des Angriffs.
Broadcom hat in seinem Security Advisory VMSA-2025-0015 die Schwachstelle bestaetigt und Patches bereitgestellt. Die Schwachstelle wurde ausserdem auf der OpenWall-Sicherheitsmailingliste und von Debian diskutiert, was die Breite der betroffenen Plattformen zeigt. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
VMware Tools und Open VM Tools aktualisieren: Aktualisieren Sie VMware Tools auf Version 12.5.4 oder hoeher (fuer den 12.x-Zweig) bzw. 13.0.5.0 oder hoeher (fuer den 13.x-Zweig). Fuer Open VM Tools aktualisieren Sie auf Version 12.5.4 oder hoeher. Pruefen Sie das Broadcom Security Advisory VMSA-2025-0015 fuer die genauen Versionsanforderungen.
-
Aria Operations aktualisieren: Aktualisieren Sie VMware Aria Operations auf Version 8.18.5 oder hoeher. Fuer VMware Cloud Foundation pruefen Sie die kompatiblen Patch-Versionen in der Broadcom-Dokumentation.
-
SDMP temporaer deaktivieren: Falls ein sofortiges Update nicht moeglich ist, deaktivieren Sie voruebergehend das Service Discovery and Dependency Mapping (SDMP) in Aria Operations fuer betroffene VMs. Dies reduziert die Angriffsflaeche, schraenkt aber die Monitoring-Funktionalitaet ein.
-
Lokale Benutzerrechte ueberpruefen: Ueberpruefen Sie alle lokalen Benutzerkonten auf betroffenen VMs und stellen Sie sicher, dass nur autorisierte Benutzer Zugang haben. Entfernen Sie nicht mehr benoetigte lokale Konten und beschraenken Sie den SSH-Zugang auf ein Minimum.
-
Debian-Systeme patchen: Fuer Debian Linux 11.0-Systeme mit Open VM Tools installieren Sie die Sicherheitsupdates aus dem Debian LTS-Repository. Pruefen Sie die Debian LTS-Ankuendigung fuer Details.
Technische Details
CVE-2025-41244 betrifft VMware Aria Operations (ab Version 8.0 bis vor 8.18.5), VMware Cloud Foundation (4.0 bis 5.2.2, sowie 9.0), Open VM Tools (ab 11.2.0 bis vor 12.5.4, sowie 13.0.0), VMware Telco Cloud Infrastructure und Platform sowie VMware Tools (ab 12.5.0 bis vor 12.5.4, ab 13.0.0.0 bis vor 13.0.5.0). Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt einen lokalen Angriff (AV:L) mit niedriger Komplexitaet (AC:L), der niedrige Privilegien (PR:L) erfordert.
Die Schwachstelle liegt im SDMP-Dienst (Service Discovery and Dependency Mapping), der als Teil von VMware Tools auf verwalteten virtuellen Maschinen laeuft. Dieser Dienst wird von Aria Operations genutzt, um Anwendungen und deren Abhaengigkeiten auf VMs zu erkennen. Der SDMP-Dienst laeuft mit erhoehten Privilegien und stellt Schnittstellen bereit, die von lokalen Benutzern angesprochen werden koennen.
Ein nicht-administrativer lokaler Benutzer kann die unsicher definierten Privilegien des SDMP-Dienstes missbrauchen, um Operationen auszufuehren, die normalerweise Root-Rechte erfordern. Der genaue Angriffsweg umfasst die Interaktion mit dem SDMP-Dienst ueber lokale Schnittstellen, wodurch der Angreifer die Rechteausweitung auf Root-Ebene erreicht.
Voraussetzung fuer die Ausnutzung ist, dass VMware Tools auf der VM installiert ist und die VM von Aria Operations mit aktiviertem SDMP verwaltet wird. Der Scope bleibt unveraendert (S:U), was bedeutet, dass die Rechteausweitung auf die betroffene VM beschraenkt ist und nicht auf den Hypervisor oder andere VMs uebergreift.
Häufig gestellte Fragen
Welche VMware-Produkte sind von CVE-2025-41244 betroffen?
Betroffen sind VMware Aria Operations (vor 8.18.5), VMware Cloud Foundation (4.0-5.2.2 und 9.0), Open VM Tools (vor 12.5.4 und 13.0.0), VMware Telco Cloud Infrastructure (2.2-3.0), VMware Telco Cloud Platform (4.0 bis vor 5.0.1), VMware Tools (12.5.0 bis vor 12.5.4 und 13.0.0.0 bis vor 13.0.5.0) sowie Debian Linux 11.0 mit Open VM Tools.
Ist meine VM betroffen, wenn SDMP nicht aktiviert ist?
Die Schwachstelle erfordert, dass VMware Tools installiert ist und die VM von Aria Operations mit aktiviertem SDMP verwaltet wird. Wenn SDMP nicht aktiviert ist, ist die Schwachstelle nicht direkt ausnutzbar. Dennoch sollten Sie VMware Tools aktualisieren, da zukuenftige Konfigurationsaenderungen die Schwachstelle aktivieren koennten.
Kann ein Angreifer vom VM-Gastsystem auf den Hypervisor zugreifen?
Nein, der Scope bleibt unveraendert (S:U), was bedeutet, dass die Rechteausweitung auf die betroffene VM beschraenkt ist. Ein Angreifer erlangt Root-Rechte innerhalb der VM, aber keinen direkten Zugriff auf den ESXi-Host oder andere virtuelle Maschinen.
Betrifft diese Schwachstelle auch Linux-Distributionen mit Open VM Tools?
Ja, Open VM Tools ab Version 11.2.0 bis vor 12.5.4 sowie Version 13.0.0 sind betroffen. Debian Linux 11.0 ist explizit aufgefuehrt, und es sind Sicherheitsupdates ueber das Debian LTS-Repository verfuegbar. Andere Linux-Distributionen mit Open VM Tools sollten ebenfalls die Versionen pruefen und aktualisieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.