Failles critiques chez VMware : la faute aux contrôleurs USB

Vous utilisez ESXi, Fusion ou Workstation ? Prière de les patcher. Tel est le message que VMware vient de faire passer.

En cause, la découverte de quatre vulnérabilités. Suffisamment importantes pour ouvrir les correctifs à d’anciennes versions de ces produits, entrées en phase de support étendu.

Les deux failles les plus critiques ont un score CVSS v3 de base de 9,3 sur Workstation et Fusion (8,4 sur ESXi). Elles affectent respectivement les contrôleurs USB XHCI et UHCI. Elles permettent à l’admin local d’une VM d’exécuter du code sur l’hôte par l’intermédiaire du processus VMX. Sur ESXi, l’exploitation est contenue dans la sandbox, d’où le score CVSS inférieur.

Une autre vulnérabilité dans le contrôleur UHCI (score : 7,1) pose un risque d’exposition de données. Elle peut permettre à quiconque dispose d’un accès admin sur une VM d’accéder à la mémoire du processus VMX.

L’ultime faille concerne spécifiquement ESXi. Score : 7,9. Elle peut permettre à un attaquant disposant de privilèges dans le processus VMX de s’échapper de la sandbox en déclenchant une écriture hors limites.

Il existe une méthode de contournement pour les trois premières failles : retirer les contrôleurs USB des VM. Cela peut avoir des conséquences sur certains OS qui ne supportent pas le mode PS/2. Ainsi que, plus généralement, sur la fonction passthrough. Il pourra être nécessaire, en fonction de l’environnement, de relancer les VM, précise VMware.

À consulter en complément :

8 failles logicielles qui ont marqué l’année 2023
Une faille compromet le démarrage sécurisé sur Linux
Citrix Bleed : Boeing éclaire sur la faille qui lui a valu un ransomware

Illustration © Nmedia – Fotolia