VMware, VMware ARIA operasyonları, VMware Tools, VMware Cloud Foundation, VMware Telco Cloud Platform ve VMware Telco Bulut Altyapısında üç yüksek aralıklı güvenlik açıklarını ele almak için bir danışmanlık yayınladı.
29 Eylül 2025 tarihinde açıklanan Danışma, CVE-2025-41244, CVE-2025-41245 ve CVSSV3 baz puanları ile CVE-2025-41245 ve CVE-2025-41246’yı 4.9 ila 7.8 arasında değişmektedir.
Yöneticiler, yerel ayrıcalık artışını, bilgi açıklamasını ve uygunsuz yetkilendirme istismarlarını önlemek için yamalı sürümleri hemen uygulamalıdır.
Yerel ayrıcalık artış kusuru (CVE-2025-41244)
CVE-2025-41244, VMware ARIA işlemlerini (tüm 8.x sürümleri), VMware Tools (12.x, 13.x) ve VMware Cloud Foundation işlemlerini etkileyen yerel bir ayrıcalık yükseltme güvenlik açığıdır.
ARIA operasyonları (SDMP özellikli) tarafından kurulan ve yönetilen bir VM’de VM’de yönetici olmayan ayrıcalıklara sahip kötü niyetli bir yerel aktör (SDMP özellikli) bu kusuru kökten artırmak için bu kusuru kullanabilir.
Broadcom 7.8 (AV: L/AC: L/PR: L/UI: N/S: U/C: H/I: H/A: H) bir CVSSV3 baz skoru atadı. Çözünürlük şu adrese yükseltmeyi gerektirir:
Sabit sürümler arasında ARIA İşlemleri 8.18.5, VMware Tools 13.0.5.0 ve 12.5.4 ve bulut temel işlemleri 9.0.1.0 bulunur. Hiçbir geçici çözüm mevcut değildir.
Bilgi ifşası ve uygunsuz yetkilendirme kusurları
CVE-2025-41245, VMware ARIA işlemlerinde bir bilgi açıklama güvenlik açığı getirir.
İkiz edici olmayan ARIA operasyonları erişimi olan bir saldırgan, diğer kullanıcıların kimlik bilgilerini açıklayabilir. Bu kusur 4,9 CVSSV3 skoru taşır (AV: N/AC: L/PR: H/UI: N/S: U/C: H/I: N/A: N).
Yöneticiler ARIA operasyonlarını 8.18.5’e yükseltmeli veya önceki bulut temel sürümleri için KB92148 yamasını uygulamalıdır. CVE-2025-41246, Windows için VMware araçlarında uygunsuz bir yetkilendirme güvenlik açığıdır (tüm 12.x ve 13.x sürümleri).
VCenter veya ESX aracılığıyla zaten doğrulanmış kötü niyetli bir kullanıcı, hedef VM kimlik bilgilerini biliyorlarsa diğer konuk VM’lere dönebilir. CVSSV3 skoru 7.6’dır (AV: A/AC: H/PR: H/UI: N/S: C/C: H/I: H/A: H).
Düzeltme, Windows için VMware araçlarının 13.0.5 veya 12.5.4’e güncellenmesini gerektirir.
| CVE kimliği | Başlık | CVSSV3.1 puanı | Şiddet |
| CVE-2025-41244 | Yerel ayrıcalık yükseltme | 7.8 | Önemli |
| CVE-2025-41245 | Bilgi Açıklama | 4.9 | Önemli |
| CVE-2025-41246 | Uygunsuz Yetkilendirme | 7.6 | Önemli |
Broadcom, bu sorunları bildirmek için Maxime Thiebaut (Nviso), Sven Nobis ve Lorin Lehawany (Ernw) ve Tom Jøran Sønstebyseter Rønning’e (@L1V1NG0FFTH3L4N) kredilendiriyor.
Bu güvenlik açıklarının hiçbiri için hiçbir geçici çözüm yoktur. Etkilenen tüm ortamlar, Broadcom tarafından hemen verilen yamaları uygulamalıdır.
Yama yeteneği olmayan yöneticiler, yerel VM kullanıcı ayrıcalıklarını geçici olarak kısıtlayabilir ve ARIA operasyon konsollarına erişimi sınırlayabilir.
Günlük siber güvenlik güncellemeleri için bizi Google News, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
