VMware, Mayıs 2025’te düzenlenen Pwn2Own Berlin yarışmasında sıfır gün (zero-day) olarak istismar edilen dört güvenlik açığını gideren güncellemeleri yayınladı. Bu açıklar, özellikle ESXi, Workstation, Fusion ve VMware Tools bileşenlerini etkiledi.
Üç Açık, Sanal Makineden Ana Sisteme Sızmaya İzin Veriyordu
VMware’in güvenlik danışma metnine göre, CVE-2025-41236, CVE-2025-41237 ve CVE-2025-41238 kodlarıyla izlenen üç kritik açık, 9.3 seviyesinde puanlandı. Bu açıklar, sanal makinede çalışan bir programın ana makine üzerinde kod çalıştırmasına yol açabilecek kadar ciddi bir risk taşıyor.
- CVE-2025-41236: VMXNET3 sanal ağ adaptöründe tamsayı taşması (integer overflow) hatası. STARLabs SG’den Nguyen Hoang Thach bu açığı yarışmada kullandı.
- CVE-2025-41237: Sanal makine iletişim arabirimi (VMCI) bileşeninde tamsayı alt taşması (integer underflow) ve sınır dışı yazma sorunu. REverse Tactics’ten Corentin Bayet tarafından istismar edildi.
- CVE-2025-41238: Paravirtualized SCSI (PVSCSI) denetleyicisinde heap taşmasına neden olan ve sınır dışı yazma gerçekleştiren bir hata. Synacktiv ekibinden Thomas Bouzerar ve Etienne Helluy-Lafont bu açığı kullandı.
Özellikle PVSCSI açığı, yerel yönetici haklarına sahip bir saldırganın, sanal makineden ana sistemde çalışan VMX süreci üzerinden yetkisiz kod çalıştırmasına olanak tanıyor.
Dördüncü açık olan CVE-2025-41239, diğerlerine kıyasla daha düşük (7.1) risk puanı taşıyor. Bu açık, bilgi sızdırılmasına yol açıyor. Aynı yarışmada CVE-2025-41237 ile birlikte zincirleme şekilde kullanıldı. Açık, özellikle Windows için VMware Tools bileşenini etkiliyor. Bu nedenle diğer yamalardan farklı bir güncelleme süreci gerektiriyor.
VMware, kullanıcıların güvenliğini sağlamak için tüm ilgili ürünler için güncellemeleri erişime açtı. Şirket, bu güvenlik açıkları için herhangi bir geçici çözüm sunmadı. Bu nedenle sistem yöneticilerinin acil şekilde en güncel sürümlere geçiş yapmaları gerekiyor.
Güncellenmesi gereken ürünler arasında VMware ESXi, Workstation, Fusion ve VMware Tools bulunuyor. Özellikle kurumsal ortamlarda kullanılan bu yazılımların yamanmamış hâlde bırakılması ciddi güvenlik risklerine yol açabilir.
Bu açıklar, 2025’in en büyük güvenlik etkinliklerinden biri olan Pwn2Own Berlin’de sıfır gün olarak gösterildi. Yarışmada güvenlik araştırmacıları toplam 29 sıfır gün açığı ortaya çıkararak 1.078.750 dolar ödül kazandı. VMware ürünleri, bu etkinlikte en çok hedef alınan yazılımlardan biri oldu.
