CVE-2025-41244

Vulnérabilité Critique dans VMware : Escalade de Privilèges Locale

Une faille de sécurité, identifiée comme CVE-2025-41244, impacte VMware Tools et VMware Aria Operations. Elle permet à un attaquant disposant d’un accès local d’élever ses privilèges sur le système.

Cause de la vulnérabilité :

La vulnérabilité provient de l’utilisation de motifs d’expression régulière trop permissifs dans le script get-versions.sh. Ce script est employé par VMware Tools et le pack de gestion de la découverte de services (SDMP) d’Aria Operations pour collecter des informations de version. La fonction get_version() de ce script recherche des sockets en écoute et exécute les binaires correspondants. Cependant, l’utilisation du raccourci \S (qui correspond à tout caractère non-espace) inclut involontairement des répertoires accessibles en écriture par l’utilisateur, comme /tmp/httpd.

Exploitation possible :

Un attaquant peut placer des binaires malveillants dans ces répertoires accessibles en écriture. L’environnement privilégié de VMware exécutera alors ces binaires, permettant ainsi une escalade de privilèges locale. Cette situation correspond à la faiblesse CWE-426 : “Chemin de recherche non fiable”, offrant une opportunité simple d’escalade de privilèges.

Points Clés :

• Type de vulnérabilité : Escalade de privilèges locale.
• Composants affectés : VMware Tools, VMware Aria Operations (via le script get-versions.sh et la fonction get_version()).
• Mécanisme d’exploitation : Exploitation d’expressions régulières trop larges pour exécuter des binaires malveillants placés dans des répertoires utilisateur accessibles en écriture.
• Faiblesse associée : CWE-426: Untrusted Search Path.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, la nature de la vulnérabilité suggère les actions suivantes :

• Mettre à jour VMware Tools et VMware Aria Operations dès que des correctifs sont disponibles.
• Examiner les configurations de sécurité pour limiter les accès en écriture aux répertoires sensibles, particulièrement ceux qui pourraient être scannés par des scripts système.
• Surveiller les activités suspectes sur les systèmes VMware, notamment l’exécution de binaires inconnus dans des emplacements inhabituels.

Source