TOCTOU, Sandbox, Fuites : Décryptage des dernières failles de VMware

Vulnérabilités critiques corrigées par VMware en 2025

En mars 2025, VMware a publié des correctifs urgents pour trois vulnérabilités critiques affectant ses produits, notamment ESXi, Workstation et Fusion. Ces failles, identifiées sous les identifiants CVE-2025-22224, CVE-2025-22225 et CVE-2025-22226, sont considérées comme des zero-days en raison de leur exploitation potentielle avant la publication des patchs. Elles représentent un risque majeur pour la sécurité des environnements de virtualisation.

Détails des vulnérabilités

1. CVE-2025-22224 : Élévation de privilèges via TOCTOU

Cette vulnérabilité est une faille de type Time-of-Check to Time-of-Use (TOCTOU). Elle permet à un attaquant ayant déjà des privilèges d'administrateur sur l'hyperviseur d'exécuter du code arbitraire et d'accéder directement aux fichiers VMX. L'attaque TOCTOU exploite une fenêtre de temps minuscule entre la vérification de l'intégrité d'une ressource et son utilisation effective. En manipulant le processus d'initialisation, un attaquant peut contourner les contrôles de sécurité et prendre le contrôle de l'hyperviseur.

2. CVE-2025-22225 : Sortie de sandbox et élévation de privilèges

Cette vulnérabilité permet une évasion de l'isolation et une élévation de privilèges. Un attaquant authentifié sur une machine virtuelle (VM) peut exploiter cette faille pour élever ses droits, accéder aux processus de la VM, et surtout, sortir du sandbox de virtualisation pour interagir directement avec l'hyperviseur. Ce scénario est particulièrement critique dans les environnements multi-tenants, où la compromission d'une VM peut potentiellement affecter l'ensemble de l'infrastructure partagée.

3. CVE-2025-22226 : Fuite de données VMX

Cette troisième vulnérabilité concerne spécifiquement VMware Workstation et Fusion. Elle permet à un utilisateur local disposant de droits d'administrateur d'exécuter une nouvelle élévation de privilèges et de provoquer une fuite de données sensibles à partir des processus VMX. La compromission du processus VMX peut exposer des informations critiques, menaçant la confidentialité et l'intégrité des machines virtuelles hébergées.

Recommandations de sécurité

Ces vulnérabilités soulignent l'importance de maintenir les systèmes de virtualisation à jour. VMware a réagi rapidement en publiant des correctifs pour toutes les versions impactées.

👉 Pour les administrateurs d'environnements ESXi, Workstation ou Fusion, il est impératif d'appliquer les mises à jour sans délai. La mise à jour est la seule mesure efficace pour réduire la surface d'attaque et prévenir toute exploitation potentielle de ces failles.

#vmware #esxi #vulnérabilité #zeroday #TOCTOU