Broadcom opravil CVE-2025-41244, kritickú zraniteľnosť zero-day vedúcu k eskalácii privilégií vo VMware. Túto chybu zneužíval čínsky aktér UNC5174 pomocou škodlivých binárnych súborov v cestách ako /tmp/httpd. UNC5174 predtým zameriaval francúzsku vládu a komerčné sektory pomocou zraniteľností Ivanti CSA.
Broadcom opravil kritickú zraniteľnosť ovplyvňujúcu VMware Aria Operations a VMware Tools, ktorá bola zjavne použitá ako zero-day pri reálnych útokoch.
V novom bezpečnostnom oznámení spoločnosť uviedla, že opravila lokálnu zraniteľnosť eskalácie privilégií, ktorá umožňovala lokálnemu používateľovi s obmedzeným prístupom k virtuálnemu stroju získať oprávnenia roota (ak bežali na danom virtuálnom stroji VMWare Tools a Aria Operations s povoleným SDMP). Chyba je teraz sledovaná ako CVE-2025-41244 a bola jej pridelená závažnosť 7.8/10 (vysoká).
Tí, ktorí hľadajú opravu pre 32-bitový systém Windows, by mali vyhľadať VMWare Tools 12.4.9, ktorá je súčasťou VMWare Tools 12.5.4. Pre Linux existuje verzia open-vm-tools, ktorá bude distribuovaná predajcami Linuxu.
UNC5174 obvinený.
Bezpečnostné oznámenie spomína aj ďalšie dve opravné zraniteľnosti, ale neuvádza žiadne ich zneužitie v reálnom svete.
Cybersecurity výskumníci NVISO potvrdili túto informáciu a zverejnili aj proof-of-concept (PoC), ktorý demonštruje, ako by útočníci mohli zneužiť chybu na eskaláciu privilégií na napadnutých systémoch.
Tvrdia tiež, že túto chybu využívali čínski štátom sponzorovaní aktéri: „Na zneužitie tejto zraniteľnosti môže neoprávnený lokálny útočník umiestniť škodlivý binárny súbor do ktorejkoľvek zo široko zhodných ciest regulárnych výrazov. Jednoduché bežné umiestnenie, ktoré UNC5174 zneužíva v reálnom svete, je /tmp/httpd,“ uviedla spoločnosť NVISIO v správe.
UNC5174 je známy čínsky štátom sponzorovaný aktér. V lete bolo hlásené, že skupina koncom roka 2024 zacielila na francúzske vládne agentúry, ako aj na množstvo komerčných subjektov, ako sú telekomunikačné spoločnosti, finančné inštitúcie a dopravné organizácie.
Francúzska národná agentúra pre bezpečnosť informačných systémov (ANSSI) vtedy uviedla, že útočníci zneužívali tri bezpečnostné zraniteľnosti v zariadeniach Ivanti CSA: CVE-2024-8963, CVE-2024-9380 a CVE-2024-8190.
