CISA: Ранливост во VMware ESXi сега се експлоатира во ransomware напади

CISA во средата потврди дека ransomware групи започнале да експлоатираат ранливост со висока сериозност во VMware ESXi која овозможува излез од sandbox, а претходно била користена во zero-day напади.

Broadcom ја закрпи оваа ESXi ранливост што овозможува произволно запишување (tracked како CVE-2025-22225) во март 2025 година, заедно со ранливост за протекување на меморија (CVE-2025-22226) и TOCTOU ранливост (CVE-2025-22224), при што сите беа означени како активно експлоатирани zero-day ранливости.

„Злонамерен актер со привилегии во VMX процесот може да предизвика произволно запишување во kernel-от, што доведува до излез од sandbox-от“, соопшти Broadcom за ранливоста CVE-2025-22225. Во тоа време, компанијата наведе дека трите ранливости ги погодуваат VMware ESX производите, вклучувајќи VMware ESXi, Fusion, Cloud Foundation, vSphere, Workstation и Telco Cloud Platform, и дека напаѓачи со администраторски или root привилегии можат да ги поврзат за да избегаат од sandbox-от на виртуелната машина.

Според извештај објавен минатиот месец од компанијата за сајбер-безбедност Huntress, заканувачки актери што зборуваат кинески јазик најверојатно ги поврзувале овие слабости во софистицирани zero-day напади уште од најмалку февруари 2024 година.

Означена како експлоатирана во ransomware напади

Во средата, во ажурирање на својата листа на ранливости кои се експлоатираат „во дивината“, Американската агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) соопшти дека CVE-2025-22225 сега е познато дека се користи во ransomware кампањи, но не објави дополнителни детали за тековните напади.

CISA првпат ја додаде оваа ранливост во својот каталог Known Exploited Vulnerabilities (KEV) во март 2025 година и им наложи на федералните агенции да ги обезбедат своите системи до 25 март 2025, согласно обврските од Binding Operational Directive (BOD) 22-01.

„Применете мерки за ублажување согласно упатствата на производителот, следете ги релевантните насоки од BOD 22-01 за cloud услуги или прекинете со користење на производот доколку мерките за ублажување не се достапни“, наведува агенцијата за сајбер-безбедност.

Ransomware групите и државно спонзорирани хакерски групи често ги таргетираат VMware ранливостите бидејќи VMware производите се широко распоредени во корпоративни системи кои најчесто чуваат чувствителни деловни податоци.

На пример, во октомври, CISA им нареди на државните агенции да закрпат ранливост со висока сериозност (CVE-2025-41244) во софтверот VMware Aria Operations и VMware Tools на Broadcom, која кинески хакери ја експлоатирале во zero-day напади уште од октомври 2024 година.

Понатаму, неодамна CISA означи и критична ранливост во VMware vCenter Server (CVE-2024-37079) како активно експлоатирана во јануари и им наложи на федералните агенции да ги обезбедат своите сервери до 13 февруари.

Во поврзани вести, оваа недела компанијата за сајбер-безбедност GreyNoise објави дека CISA „тивко“ означила 59 безбедносни ранливости како познати дека биле користени во ransomware кампањи само во текот на минатата година.

Извори:

• Bleeping Computer – CISA: VMware ESXi flaw now exploited in ransomware attacks Bleeping Computer