VMware, Workstation ve Fusion masaüstü hipervizörlerinde, Pwn2Own Vancouver 2024 bilgisayar korsanlığı yarışması sırasında istismar edilen üç sıfır gün de dahil olmak üzere dört güvenlik açığını düzeltti.
Bugün yamalanan en ciddi kusur, STAR Labs SG ve Theori ekipleri tarafından vbluetooth cihazında tanıtılan, serbest kullanım sonrası bir kusur olan CVE-2024-22267’dir.
Şirket Salı günü yayınlanan bir güvenlik tavsiyesinde şöyle açıklıyor: “Sanal makinede yerel yönetim ayrıcalıklarına sahip kötü niyetli bir aktör, sanal makinenin ana makinede çalışan VMX işlemi sırasında kod yürütmek için bu sorunu kullanabilir.”
VMware ayrıca günümüzün güvenlik güncellemelerini hemen yükleyemeyen yöneticiler için geçici bir çözüm de sağlıyor. Bu geçici çözüm, ‘Bluetooth cihazlarını sanal makineyle paylaş’ seçeneğinin işaretini kaldırarak sanal makinenin Bluetooth desteğini kapatmalarını gerektirir.
Theori ve STAR Labs SG tarafından bildirilen, CVE-2024-22269 ve CVE-2024-22270 olarak takip edilen iki yüksek önem dereceli güvenlik hatası daha, yerel yönetici ayrıcalıklarına sahip saldırganların sanal makinenin hipervizör belleğinden ayrıcalıklı bilgileri okumasına olanak tanıyan bilgilerin açığa çıkması güvenlik açıklarıdır. .
Bugün düzeltilen dördüncü VMware Workstation ve Fusion güvenlik açığı (CVE-2024-22268 olarak takip edilmektedir), Shader işlevindeki yığın arabellek taşması zayıflığından kaynaklanmaktadır. Bir güvenlik araştırmacısı da bunu Trend Micro’nun Sıfır Gün Girişimi aracılığıyla bildirdi.
“VMware, 3D grafiklerin etkin olduğu bir sanal makineye yönetici olmayan erişimi olan kötü niyetli bir aktörün bu güvenlik açığından yararlanarak hizmet reddi durumu oluşturabileceğini söylüyor.
Ancak bu güvenlik açığından başarıyla yararlanabilmek için hedeflenen sanal makinede 3D grafiklerin etkinleştirilmesi gerekir.
Pwn2Own Vancouver 2024 sonuçları
Güvenlik araştırmacıları, bu yılki Vancouver bilgisayar korsanlığı yarışmasında 29 sıfır gün (ve bazı hata çarpışmaları) gösterdikten sonra 1.132.500 dolar topladı; Manfred Paul ise Apple Safari, Google Chrome ve Microsoft Edge web tarayıcılarını devre dışı bıraktıktan sonra 202.500 dolar nakit parayla kazanan oldu.
Yarışma sırasında STAR Labs SG ekibi 30.000 $ kazandı Uzaktan kod yürütme elde etmek için iki VMware Workstation güvenlik açığını zincirledikten sonra.
Theori güvenlik araştırmacıları Gwangun Jung ve Junoh Lee ayrıca, üç güvenlik açığını hedef alan bir yararlanma zinciri kullanarak ana Windows işletim sistemi üzerinde SYSTEM olarak kod yürütme elde etmek için bir VMware Workstation VM’sinden kaçmak için 130.000 $ nakit parayla eve gittiler: başlatılmamış bir değişken hata, bir UAF zayıflığı ve yığın tabanlı arabellek taşması.
Google ve Mozilla ayrıca, Pwn2Own Vancouver 2024’te yarışmanın sona ermesinden birkaç gün sonra istismar edilen birkaç sıfır günü düzeltti; Mozilla bir gün sonra yamaları yayınlarken, Google da yalnızca beş gün sonra yamaları yayınladı.
Bununla birlikte, Trend Micro’nun Sıfır Gün Girişimi hata ayrıntılarını kamuya açıklamadan önce yamaları yayınlamak için 90 günleri olduğundan, satıcılar genellikle Pwn2Own’da gösterilen güvenlik kusurlarını düzeltmek için zaman ayırırlar.