سه آسیب‌پذیری روز صفر در محصولات VMware، ده‌ها هزار سازمان را در معرض خطر حملات فرار از ماشین مجازی (VM Escape) قرار داده‌اند که می‌تواند منجر به نقض‌های امنیتی فاجعه‌باری شود. در این حمله، مهاجم از محدودیت‌های ایزوله‌سازی ماشین مجازی عبور کرده و به سیستم میزبان یا سایر ماشین‌های مجازی دسترسی پیدا می‌کند.
طبق داده‌های اسکن بنیاد Shadowserver، تا تاریخ 6 مارس بیش از ۴۱,۰۰۰ نمونه ESXi در سراسر جهان همچنان نسبت به آسیب‌پذیری CVE-2025-22224 (با امتیازCVSS: 9.3) آسیب‌پذیر بوده اند.
اسکن‌های اولیه در تاریخ ۴ مارس، ۴۱,۵۰۰ نمونه آسیب‌پذیر را شناسایی کردند. بیشترین تعداد نمونه‌های ESXi پچ نشده در کشورهای چین، فرانسه و ایالات متحده قرار دارند.
شرکت Broadcom که اخیراً مالکیت VMware را به دست آورده است، این سه آسیب‌پذیری را در ۴ مارس افشا کرد و هشدار داد که مهاجمان می‌توانند با زنجیره‌سازی این نقص‌ها به فرار از هایپروایزر یا ماشین مجازی دست یابند. این شرکت همچنین توضیح داد که این یک سناریو است که در آن مهاجمی که از قبل سیستم‌عامل مهمان یک ماشین مجازی را به تحت دسترسی خود دارد و دسترسی سطح بالا (Administrator یا Root) را به دست آورده است، می‌تواند به خود هایپروایزر نفوذ کند.
سه آسیب‌پذیری شناسایی‌شده عبارت‌اند از:
- CVE-2025-22224: آسیب‌پذیری نوشتن خارج از محدوده در VMware ESXi و Workstation (امتیاز CVSS: 9.3). در صورتی که مهاجم دسترسی ادمین محلی روی ماشین مجازی داشته باشد، می‌تواند از این آسیب‌پذیری سوءاستفاده کند تا کد مخرب را به‌عنوان پروسه VMX ماشین مجازی روی سیستم میزبان اجرا کند.
- CVE-2025-22225: آسیب‌پذیری نوشتن دلخواه در VMware ESXi (امتیاز CVSS: 8.2) که به مهاجم اجازه اجرای کد مخرب در حافظه کرنل سیستم میزبان راه می دهد.
- CVE-2025-22226: آسیب‌پذیری افشای اطلاعات در VMware ESXi، Workstation و Fusion (امتیاز CVSS: 7.1). در صورتی که مهاجم دسترسی ادمین محلی روی ماشین مجازی داشته باشد، می‌تواند از این آسیب‌پذیری سوءاستفاده کند تا اطلاعات حافظه را از پروسه VMX ماشین مجازی استخراج کند.
محدودیت های حمله VM Escape
خبر خوب این است که مهاجمان باید هر سه آسیب‌پذیری را به‌صورت زنجیره‌ای مورد بهره‌برداری قرار دهند تا به فرار از ماشین مجازی دست یابند. علاوه بر این، دسترسی ادمین در ماشین‌های مجازی برای سوءاستفاده از این نقص‌ها الزامی است.
نکته مهم این است که حتی با داشتن دسترسی ادمین، مهاجمان نمی‌توانند از محیط مجازی خارج شده و با سیستم میزبان تعامل داشته باشند. با این حال، استفاده زنجیره‌ای از این آسیب‌پذیری‌ها می‌تواند به مهاجم اجازه دهد نه‌تنها به سیستم میزبان نفوذ کند، بلکه سایر ماشین‌های مجازی و زیرساخت‌های آن‌ها را نیز به خطر بیندازد. در مواردی که این ماشین‌های مجازی روی سرویس‌دهنده‌های ابری هاست های اشتراکی (multitenant) میزبانی می‌شوند، مهاجم می‌تواند از این حملات فرار، برای نفوذ به چندین محیط کاربری در همان زیرساخت ابری استفاده کند.
خطرات برای سازمان‌ها و ارائه‌دهندگان فضای ابری
طبق گفته یک محقق به نام کوین بیمونت(Kevin Beaumont)، این حملات برای شرکت‌هایی که سرویس ماشین‌های مجازی مدیریت‌شده (Managed VMs) ارائه می‌دهند، خطرناک‌تر است. به گفته وی، سازمانی که یک مشتری آن مورد حمله قرار گیرد، تمامی ماشین‌های مجازی مشتریان دیگر نیز در معرض خطر قرار خواهند گرفت.
به گفته یک محقق ارشد امنیتی از شرکت Tenable به نام ستنام نرنگ(Satnam Narang)، علاوه بر این، ابزارهای امنیتی سنتی مانند EDR (Endpoint Detection and Response) معمولاً در محیط‌های مجازی مانند ESXi دید کاملی ندارند. این مسئله، شناسایی و جلوگیری از سوءاستفاده را دشوارتر می‌کند.
او همچنین هشدار داده است که با توجه به اینکه این حملات نیازمند پیش نیاز های مختلف است؛ اما این امر باعث دلسرد شدن مهاجمان نشده است و این آسیب‌پذیری‌ها ارزش بالایی برای گروه‌های باج‌افزار دارند. با توجه به اینکه تاکنون هیچ کد اکسپلویت عمومی برای این آسیب‌پذیری‌ها منتشر نشده است، اکنون بهترین زمان برای اعمال پچ های امنیتی است.
این تهدید تنها یک خطر در سطح تئوری نیست. VMware ESXi همواره هدف جذابی برای مهاجمان بوده است. در تابستان ۲۰۲۴، چندین گروه باج‌افزار از آسیب‌پذیری دور زدن احراز هویت (CVE-2024-37085) در ESXi سوءاستفاده کردند و توانستند داده‌های سازمانی را در محیط‌های مجازی رمزگذاری کنند.
شرکت Broadcom هشدار داده است که هر یک از نسخه های VMware مانند VMware ESX، VMware vSphere، VMware Cloud Foundation یا VMware Telco Cloud Platform که قدیمی‌تر از نسخه‌های اصلاح شده هستند، تحت تأثیر این آسیب‌پذیری‌ها قرار دارند.
توصیه‌های امنیتی
- سازمان‌ها باید فوراً آخرین پچ های امنیتی VMware را برای جلوگیری از سوءاستفاده مهاجمان اعمال کنند.
- ارائه‌دهندگان خدمات فضای ابری هاست اشتراکی باید نظارت بر ماشین‌های مجازی اشتراکی را افزایش دهند.
- راهکارهای امنیتی پیشرفته مانند شناسایی تهدید در محیط‌های مجازی، باید برای مقابله با چنین حملاتی پیاده‌سازی شوند.
