Kritik VMware Tools VGAUTH Güvenlik Açıkları Saldırganlar için tam sistem erişimini etkinleştirin

VMware Tools’un VMware Guest Kimlik Doğrulama Hizmeti (VGAUTH) bileşenindeki iki kritik güvenlik açığı, yerel saldırganların ayrıcalıkları herhangi bir kullanıcı hesabından Windows sanal makinelerinde sistem düzeyinde erişime yükseltmesine izin verir.

CVE-2025-22230 ve CVE-2025-22247 olarak izlenen güvenlik açıkları, ESXI ile yönetilen ortamlarda ve bağımsız VMware iş istasyonu dağıtımlarında VMware Tools kurulumlarını etkiler.

Key Takeaways
1.  VMware Tools VGAuth lets local users become SYSTEM on Windows VMs
2. Named pipe hijacking and path traversal enable privilege escalation.
3. Update to VMware Tools 12.5.1+ now

Kimlik Doğrulama Bypass Güvenlik Açığı

İlk güvenlik açığı olan CVE-2025-22230, VGAUTH’ın adlandırılmış boru uygulamasında, bir öncesi saldırı yoluyla kimlik doğrulama baypasını sağlayan kritik bir kusurdan kaynaklanmaktadır.

PT Swarm, VGAUTH hizmetinin öngörülebilir adlandırma kurallarını (\. \ Pipe \ VGAUTH-SERVICE-) FILE_FLAG_FIRST_PIPE_INSTANCE bayrağı olmadan, düşük ayrıcalıklı saldırganların hizmetten önce kötü amaçlı borular oluşturmasına izin verir.

Güvenlik araştırmacısı Sergey Bliznyuk, saldırganların izin veren erişim kontrolleriyle \.

Hizmet, sistem kimlik doğrulaması için boru oluşturmaya çalıştığında, bilmeden saldırgan kontrollü boruyu kullanır ve VGAuth protokolü içindeki Superuser ayrıcalıklarını etkili bir şekilde verir.

Sistem olarak doğrulandıktan sonra, saldırganlar ayrıcalık artışı için sertifika takma adı mağazalarına, bilet doğrulama mekanizmalarına ve SAML kimlik doğrulama jetonlarına erişir.

Yolun geçişi Güvenlik açığı

İkinci güvenlik açığı olan CVE-2025-22247, takma ad deposu yönetimi işlevlerinde yetersiz giriş validasyonundan yararlanır.

Sorunlar ve removealias operasyonları, “/../../../../evil ”gibi dizilerin amaçlanan C: \ ProgramData \ VMware \ vmware vgauth \ aliasstore dizininden çıkmasını sağlayan yolun geçiş saldırılarını mümkün kılar.

Saldırganlar, keyfi dosya silinmesi ve yazma işlemleri elde etmek için sembolik bağlantı manipülasyonundan ve kontrol zamanı/kullanım zamanı (Toctou) saldırılarından yararlanabilir.

Kavşak montaj noktalarını DOS aygıt sembolleriyle birleştirerek ve hassas zamanlama için fırsatçı kilitler kullanarak saldırganlar, dosya işlemlerini ayrıcalıklı sistem konumlarına yönlendirebilir. C: \ Windows \ System32sistem düzeyinde kod yürütme için DLL kaçırma etkinleştirme.

Yatırılmış yamalar

Broadcom, 2025’in başlarında sorumlu açıklamanın ardından koordineli güvenlik güncellemeleri yoluyla her iki güvenlik açıkına da değinmiştir.

CVE-2025-22230, 25 Mart 2025’te yayınlanan VMware Tools 12.5.1’de yamalandı, UUID sonekleri ile randomize özel boru adlarının uygulanması ve haciz saldırılarını önlemek için FILE_FLAG_FIRST_PIPE_INSTANCE bayrağının uygulanması.

CVE-2025-22247, 12 Mayıs 2025 tarihinde VMware Tools 12.5.2’de iyileştirme alındı ve güvenli olmayan yol geçiş karakterleri, GetFinalPathNebyhandlew kullanılarak çalışma zamanı yolu doğrulaması ve yeni bir AlsymLinks yapılandırma bayrağı false falzüsüne dayandırılan kullanıcı adlarına giriş doğrulaması getirdi.

Windows konuk ortamlarında VMware araçlarını çalıştıran kuruluşlar, bu kritik güvenlik risklerini azaltmak için hemen en son sürüme yükseltilmelidir.

Gerçek zamanlı sanal alan analizi ile daha hızlı, daha doğru kimlik avı tespiti ve işletmeniz için gelişmiş koruma deneyimi-> Herhangi birini deneyin. Şimdi