Resumen ejecutivo
Se han identificado cuatro vulnerabilidades críticas y altas en las soluciones de VMware: ESXi, Workstation y Fusion. Dichas vulnerabilidades, si son explotadas, permiten a actores malintencionados con privilegios administrativos locales en una máquina virtual, la ejecución de código en el host, generando un riesgo importante de seguridad. Además, se identificó una vulnerabilidad que permite la divulgación de información debido al uso de memoria no inicializada en vSockets, pudiendo filtrar memoria de procesos que se comunican con vSockets en el caso de las VMware Tools. Se recomienda tomar acciones urgentes y mitigar rápidamente estas amenazas para proteger la integridad y seguridad de los sistemas mencionados.
Recursos afectados
- VMware Cloud Foundation (versiones N/A 5.x, 4.5.x)
- VMware vSphere Foundation (versión ESX 9.0.0.0)
- VMware ESXi (versiones N/A 8.0, 7.0)
- VMware Workstation Pro (versión N/A 17.x)
- VMware Fusion (versión N/A 13.x)
- VMware Tools (versiones 13.0.0.0, 13.x.x, 12.x.x, 11.x.x bajo Windows; versiones N/A 13.x.x, 12.x.x, 11.x.x bajo Linux; versiones N/A 13.x.x, 12.x.x, 11.x.x bajo macOS)
- VMware Telco Cloud Platform (versiones N/A 5.x, 4.x, 3.x, 2.x)
- VMware Telco Cloud Infrastructure (versiones N/A 3.x, 2.x)
Análisis técnico
- CVE-2025-41238: VMware ESXi, Workstation y Fusion contienen una vulnerabilidad de desbordamiento de montón en el controlador PVSCSI (SCSI Paravirtualizado) que conduce a una escritura fuera de límites. Un actor malintencionado con privilegios administrativos locales en una máquina virtual puede explotar este problema para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host. En ESXi, la explotación se contiene dentro de la caja de arena VMX y es explotable solo con configuraciones que no son compatibles. En Workstation y Fusion, esto puede llevar a la ejecución de código en la máquina donde se instala Workstation o Fusion.
- CWE-787
- CVSS: 9.3 (crítica)
- Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-41236: VMware ESXi, Workstation y Fusion contienen una vulnerabilidad de desbordamiento de enteros en el adaptador de red virtual VMXNET3. Un mal actor con privilegios administrativos locales en una máquina virtual con adaptador de red virtual VMXNET3 puede explotar este problema para ejecutar código en el host. Los adaptadores de red virtuales que no son VMXNET3 no se ven afectados por este problema.
- CWE-787
- CVSS: 9.3 (crítica)
- Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-41237: VMware ESXi, Workstation y Fusion contienen un desbordamiento de enteros en VMCI (Interfaz de Comunicación de Máquina Virtual) que conduce a una escritura fuera de límites. Un actor malicioso con privilegios administrativos locales en una máquina virtual puede explotar este problema para ejecutar código como el proceso VMX de la máquina virtual que se ejecuta en el host. En ESXi, la explotación se contiene dentro de la zona de pruebas de VMX, mientras que, en Workstation y Fusion, esto puede llevar a la ejecución de código en la máquina donde se ha instalado Workstation o Fusion.
- CWE-787
- CVSS: 9.3 (crítica)
- Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-41239: VMware ESXi, Workstation, Fusion y VMware Tools contienen una vulnerabilidad de divulgación de información debido al uso de una memoria no inicializada en vSockets. Un actor malicioso con privilegios administrativos locales en una máquina virtual podría ser capaz de explotar este problema para filtrar memoria de procesos que se comunican con vSockets.
- CWE-908
- CVSS: 7.1 (alta)
- Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
- Explotación: No detectada
Mitigación / Solución
El fabricante recomienda resolver estas vulnerabilidades aplicando los parches especificados en la matriz de respuesta proporcionada. Dichos parches varían según el producto y la versión. Además, se ha creado un FAQ para aclarar cualquier pregunta que pueda surgir, disponible en: https://brcm.tech/vmsa-2025-0013-qna. El fabricante enfatiza que no hay soluciones alternativas para estos problemas de seguridad.