VMware, Pwn2Own Berlin'de sıfır gün açıklarıyla istismar edilen dört kritik ESXi güvenlik açığını yamaladı

VMware, sanallaştırma ürünlerini etkileyen ve Pwn2Own Berlin 2025 yarışmasında istismar edilen dört sıfır gün açığına yönelik güvenlik güncellemeleri yayımladı. Güncellemeler VMware ESXi, Workstation, Fusion ve Tools yazılımlarını kapsıyor.

Söz konusu açıkların üçü, saldırganların sanal makineden ana sisteme geçerek komut çalıştırmasına olanak tanıyan yüksek önemdeki zafiyetler olarak tanımlanıyor. Bu açıklar şu şekilde listelendi:

• CVE-2025-41236: VMXNET3 sanal ağ adaptöründe bulunan tamsayı taşması açığı. Bu zafiyet, STARLabs SG’den Nguyen Hoang Thach tarafından kullanıldı.

• CVE-2025-41237: VMCI (Virtual Machine Communication Interface) bileşeninde tamsayı alt taşması sonucu oluşan out-of-bounds yazma hatası. Açık, REverse Tactics’ten Corentin Bayet tarafından istismar edildi.

• CVE-2025-41238: PVSCSI (Paravirtualized SCSI) kontrolcüsünde bulunan heap overflow zafiyeti. Bu açık, Synacktiv’ten Thomas Bouzerar ve Etienne Helluy-Lafont tarafından kullanıldı.

Bu üç zafiyetin her biri 9.3 CVSS puanına sahip.

Bilgi sızdırma açığı da kapatıldı
Dördüncü açık olan CVE-2025-41239, bilgi sızdırılmasına neden olabilecek bir zafiyet olarak tanımlandı ve 7.1 şiddet puanı aldı. Bu açık da Corentin Bayet tarafından tespit edildi ve CVE-2025-41237 ile zincirleme kullanıldı.

Yama dışında çözüm bulunmuyor
VMware, bu güvenlik açıkları için herhangi bir geçici çözüm (workaround) sunmadığını açıkladı. Bu nedenle kullanıcıların ve kurumların sistemlerini koruyabilmesi için en son sürümlere güncelleme yapmaları gerekiyor. Özellikle CVE-2025-41239’un VMware Tools for Windows ürününü etkilediği ve farklı bir güncelleme yöntemi gerektirdiği belirtildi.

Açıkların tamamı, Mayıs 2025’te gerçekleştirilen Pwn2Own Berlin yarışmasında gösterildi. Etkinlikte güvenlik araştırmacıları toplam 29 sıfır gün açığı ortaya koyarak 1.078.750 dolar ödül kazandı.

Kaynak: CUMHA - CUMHUR HABER AJANSI