SecAtor

Связанная с эксплуатацией трех исправленных на днях 0-day VMware кампания теперь отслеживается как ESXicape и затрагивает десятки тысяч экземпляров, о чем свидетельствуют результаты актуального сканирования.

4 марта Broadcom предупредила клиентов ESXi, Workstation и Fusion о выпуске срочных исправлений для CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226, эксплуатация которых может привести к выполнению произвольного кода, выходу из песочницы и утечкам памяти. 

Обнаружение ошибок приписывается Microsoft Threat Intelligence Center (вероятно, Microsoft также видела атаки с использованием 0-day), но ни Broadcom, ни Microsoft не поделились какой-либо информацией о замеченной вредоносной активности. 

Исследователи Netlas сообщают об обнаружении более 7000 экземпляров VMware ESXi, подключенных к Интернету, которые, по-видимому, подвержены уязвимостям. 

В свою очередь, Shadowserver Foundation выявила более 41 000 уязвимых экземпляров ESXi, большинство из которых находятся в Китае, Франции, США, Германии, Иране, Бразилии и Южной Корее (в РФ - более 700).

Их сканирования были нацелены на CVE-2025-22224, но детектированные экземпляры, вероятно, затронуты и другими уязвимостями, поскольку все они затрагивают одни и те же версии ПО.

Технические подробности и PoC пока недоступны, что, вероятно, на текущий момент сдерживает начало широкомасштабной эксплуатации. 

Исследователь Кевин Бомонт окрестил уязвимости как ESXicape, поясняя, что в случае доступа к ESX, злоумышленник может получить доступ ко всему на сервере ESX, включая данные виртуальной машины и, что особенно важно, конфигурацию ESX и смонтированное хранилище, а в помощью них - перемещаться по среде VMware.

Так, если организации в используется vMotion, чтобы виртуальные машины могли автоматически перемещаться между хостами ESX, балансируя нагрузку и обеспечивая обслуживание, злоумышленник получает прямой доступ к хранилищу ВМ как на этом хосте, так и за его пределами по замыслу — они, по сути, свободны на бэкэнде.

По словам исследователя, злоумышленники могут использовать уязвимости, чтобы обойти решения безопасности и получить доступ к ценным активам, таким как базы данных контроллеров домена Active Directory, не вызывая оповещений.

А это достаточно часто наблюдается в инцидентах с ransomware, когда пользователи напрямую эксплуатируют сервер ESX или vCenter через сеть управления VMware, используя неисправленные уязвимости. Как только хакеры достигают ESX, они напрямую проникают в хранилище по всему кластеру.

При этом возможность доступа к гипервизору сервера ESX напрямую из виртуальной машины значительно повышает риск. Не нужно искать сведения о сервере ESX или подключаться к изолированной сети.

Бомонт отметил, что недавно в киберподполье был замечен эксплойт для побега из виртуальной машины ESXi по цене 150 000 долл., но неясно, рабочий ли он и связан ли с атаками 0-day, раскрытыми на этой неделе.

Будем следить.

Medium

Use one Virtual Machine to own them all — active exploitation of VMware ESX hypervisor escape ESXicape

A chain of three zero days allow threat actors to escape a Virtual Machine.

www.tgoop.com/true_secator/6810

9.1K viewsMar 6 at 11:23

Связанная с эксплуатацией трех исправленных на днях 0-day VMware кампания теперь отслеживается как ESXicape и затрагивает десятки тысяч экземпляров, о чем свидетельствуют результаты актуального сканирования.

4 марта Broadcom предупредила клиентов ESXi, Workstation и Fusion о выпуске срочных исправлений для CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226, эксплуатация которых может привести к выполнению произвольного кода, выходу из песочницы и утечкам памяти. 

Обнаружение ошибок приписывается Microsoft Threat Intelligence Center (вероятно, Microsoft также видела атаки с использованием 0-day), но ни Broadcom, ни Microsoft не поделились какой-либо информацией о замеченной вредоносной активности. 

Исследователи Netlas сообщают об обнаружении более 7000 экземпляров VMware ESXi, подключенных к Интернету, которые, по-видимому, подвержены уязвимостям. 

В свою очередь, Shadowserver Foundation выявила более 41 000 уязвимых экземпляров ESXi, большинство из которых находятся в Китае, Франции, США, Германии, Иране, Бразилии и Южной Корее (в РФ - более 700).

Их сканирования были нацелены на CVE-2025-22224, но детектированные экземпляры, вероятно, затронуты и другими уязвимостями, поскольку все они затрагивают одни и те же версии ПО.

Технические подробности и PoC пока недоступны, что, вероятно, на текущий момент сдерживает начало широкомасштабной эксплуатации. 

Исследователь Кевин Бомонт окрестил уязвимости как ESXicape, поясняя, что в случае доступа к ESX, злоумышленник может получить доступ ко всему на сервере ESX, включая данные виртуальной машины и, что особенно важно, конфигурацию ESX и смонтированное хранилище, а в помощью них - перемещаться по среде VMware.

Так, если организации в используется vMotion, чтобы виртуальные машины могли автоматически перемещаться между хостами ESX, балансируя нагрузку и обеспечивая обслуживание, злоумышленник получает прямой доступ к хранилищу ВМ как на этом хосте, так и за его пределами по замыслу — они, по сути, свободны на бэкэнде.

По словам исследователя, злоумышленники могут использовать уязвимости, чтобы обойти решения безопасности и получить доступ к ценным активам, таким как базы данных контроллеров домена Active Directory, не вызывая оповещений.

А это достаточно часто наблюдается в инцидентах с ransomware, когда пользователи напрямую эксплуатируют сервер ESX или vCenter через сеть управления VMware, используя неисправленные уязвимости. Как только хакеры достигают ESX, они напрямую проникают в хранилище по всему кластеру.

При этом возможность доступа к гипервизору сервера ESX напрямую из виртуальной машины значительно повышает риск. Не нужно искать сведения о сервере ESX или подключаться к изолированной сети.

Бомонт отметил, что недавно в киберподполье был замечен эксплойт для побега из виртуальной машины ESXi по цене 150 000 долл., но неясно, рабочий ли он и связан ли с атаками 0-day, раскрытыми на этой неделе.

Будем следить.

BY SecAtor