Zero-Day dans VMware ESXi : une VM piratée pour prendre le contrôle de toutes les autres !
Mardi 4 mars 2025, VMware a publié des correctifs de sécurité pour VMware ESXi pour patcher 3 failles de sécurité zero-day. Elles représentent une menace réelle car la compromission d'une VM, peut permettre de compromettre toutes les VM. Faisons le point.
Les trois failles zero-day corrigées dans VMware ESXi, et qui affectent d'autres produits VMware, sont associées aux références suivantes : CVE-2025-22224, CVE-2025-22225 et CVE-2025-22226. Un détail présent dans un document me pousse à republier un second article aux sujets de ces failles qui sont à traiter en priorité.
Dans un document publié sur GitHub, Broadcom a apporté une précision essentielle en réponse à la question "S'agit-il d'une VM Escape ?". Voici ce que l'on peut lire : "Oui. Il s'agit d'une situation dans laquelle un attaquant qui a déjà compromis le système d'exploitation invité d'une machine virtuelle et obtenu un accès privilégié (administrateur ou root) peut s'introduire dans l'hyperviseur lui-même."
Cela signifie que si un attaquant compromet une machine virtuelle exécutée sur un hôte VMware ESXi vulnérable, il peut alors compromettre l'ensemble des autres machines virtuelles. Il s'agit de la technique appelée VM Escape. En effet, le fait de pouvoir rebondir sur l'hôte physique, lui donne accès à la plateforme de virtualisation et aux données qu'elle contient. Dans le cas d'un fournisseur de services qui s'appuie sur VMware ESXi (ou vSphere), les conséquences peuvent être énormes...
Ceci est d'autant plus vrai que, le serveur VMware ESXi est généralement un cas à part, où il n'y a pas les outils de sécurité que nous pouvons retrouver sur les serveurs (EDR, par exemple). Cet accès offre donc une certaine liberté, et plus de discrétion à l'attaquant.
Au-delà de la dangerosité de ces vulnérabilités, ce qui est à prendre en considération, c'est le fait que ces failles sont déjà exploitées. Pour le moment, nous ignorons quels groupes de pirates en profitent..
Comment se protéger ?
Plusieurs versions de VMware ESXi sont affectées par ces vulnérabilités. Le site de Broadcom référence les nouvelles versions disponibles dès maintenant, dont celles-ci :
- ESXi 8.0 : ESXi80U3d-24585383
- ESXi 8.0 : ESXi80U2d-24585300
- ESXi 7.0 : ESXi70U3s-24585291
Aucun exploit public n'est disponible pour cet exploit VM Escape, ce qui est rassurant pour l'instant. Mais, vous le savez, la situation peut très rapidement évoluer, alors patchez.
Qu'en pensez-vous ?
