KritischCVE-2025-22224

    VMware ESXi and Workstation: Race Condition (CVE-2025-22224)

    Veröffentlicht In CISA KEV seit Quellen: CVE.org, pwn.watch, SingCERT

    Teilen

    Was ist betroffen, was ist zu tun

    Die Schwachstelle CVE-2025-22224 in VMware ESXi und Workstation ist ein TOCTOU-Race-Condition-Fehler, der zu einem out-of-bounds write führt. Ein Angreifer mit lokalen Administrationsrechten auf einer virtuellen Maschine kann diesen Fehler ausnutzen, um Code als VMX-Prozess auf dem Host auszuführen. Die Schwachstelle wird aktiv in Angriffskampagnen ausgenutzt, wie durch die Aufnahme in die CISA KEV-Liste bestätigt. Betroffen sind alle Versionen von VMware ESXi und Workstation. Es ist dringend, die neuesten Sicherheitsupdates von VMware zu installieren, um die Schwachstelle zu beheben.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie VMware Workstation auf Version 17.6.3. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • VMware ESXi gte 8.0..*
    • VMware ESXi gte 7.0..*
    • VMware Workstation lt 17.x..17.6.3
    • VMware Cloud Foundation eq 5.x, 4.5.x..5.x, 4.5.x
    • VMware Telco Cloud Platform eq 5.x, 4.x, 3.x, 2.x..5.x, 4.x, 3.x, 2.x
    • VMware Telco Cloud Infrastructure eq 3.x, 2.x..3.x, 2.x
    Behoben in
    • VMware Workstation 17.6.3

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    9,3

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: Hersteller (CNA), CVSS v3

    9,3

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: CVE.org, pwn.watch, SingCERT

    1,6 %

    EPSS-Score

    Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.

    Quelle: FIRST EPSS, Perzentil 75,4

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    199.89 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab), CERT.at, CSA/SingCERT So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,3 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,3
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    1,6 %
    Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    75,4
    Hoch – CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · nicht automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 5. März 2025
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-367

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Die Schwachstelle ermöglicht einen VM-Escape. Ein Angreifer mit Admin-Rechten in einem Gast führt dabei Code im VMX-Prozess des Hosts aus und überwindet damit die zentrale Isolationsgrenze der Virtualisierung. Der Bewertungsvektor zeigt deshalb trotz lokaler Ausnutzung und hoher Rechte-Voraussetzung eine Bereichsänderung mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Ausnutzungswahrscheinlichkeit ist laut EPSS moderat, und CISA führt keine bekannte Ransomware-Nutzung. ESXi ist jedoch ein bevorzugtes Ziel für Angreifer, die bereits eine Gast-VM kompromittiert haben, und solche Escape-Schwachstellen werden typischerweise in Ketten mit weiteren Fehlern eingesetzt. Höchste Priorität gilt für Hosting-, Mandanten-, VDI- und Sandbox-Umgebungen sowie für KRITIS-Infrastrukturen mit konsolidierten Clustern. Reine Single-Tenant-Umgebungen mit gut kontrollierten Gast-Admins können innerhalb des regulären Notfall-Patchfensters weniger Tage behandelt werden.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Bestandsaufnahme sofort starten: Alle ESXi-7.0- und ESXi-8.0-Hosts, VMware Cloud Foundation (5.x, 4.5.x), Telco Cloud Platform (5.x–2.x), Telco Cloud Infrastructure (3.x, 2.x) und Workstation-17.x-Installationen erfassen, z. B. per PowerCLI: Get-VMHost | Select Name,Version,Build. Die Build-Nummern mit dem Broadcom-VMware-Security-Advisory abgleichen.
      • ESXi patchen: Ein Patch ist beim Hersteller verfügbar. Die korrigierte Build-Version bitte im Vendor-Advisory von Broadcom/VMware nachschlagen. Zuerst Hosts mit Mandanten-, VDI-, Test- oder Internet-exponierten Gast-VMs patchen. Die VMs vorher per vMotion evakuieren und die Hosts im Wartungsmodus aktualisieren.
      • VMware Workstation auf 17.6.3 aktualisieren: Alle 17.x-Versionen unterhalb von 17.6.3 betrachten. Besonders gefährdet sind Analyse- und Entwickler-Arbeitsplätze, auf denen nicht vertrauenswürdige Gast-VMs laufen, etwa Malware-Sandboxen.
      • VCF- und Telco-Cloud-Umgebungen gesondert behandeln: Den Patch-Pfad über die jeweiligen Produkt-Advisories bzw. das Async-Patch-Verfahren für VCF ermitteln. Diese Systeme nicht blind mit Standalone-ESXi-Patches bespielen.
      • Vertrauensgrenzen sofort verengen: Bis zum Patch keine nicht vertrauenswürdigen Workloads auf ungepatchten Hosts betreiben. Dazu zählen Kunden-VMs, Sandboxen und kompromittierungsverdächtige Server. Solche VMs auf bereits gepatchte Hosts oder in einen dedizierten Cluster verschieben.
      • Lage bei kompromittierten Gästen prüfen: Gast-VMs mit bekannter oder vermuteter Kompromittierung, also mit Admin-Rechten eines Angreifers, als Ausgangspunkt eines möglichen VM-Escape werten. Den zugehörigen Host in die Incident-Analyse aufnehmen.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Workload-Isolation (Architektur): Vertrauenswürdige und nicht vertrauenswürdige VMs auf getrennten Hosts bzw. Clustern betreiben, etwa per DRS-Anti-Affinity- oder VM-Host-Regeln. Code-Ausführung im VMX-Prozess wirkt auf Host-Ebene. Ein Escape trifft damit alle Workloads desselben Hosts.
      • Privilegierte Zugänge im Gast minimieren (IAM): Die Ausnutzung setzt lokale Administratorrechte in der VM voraus. Lokale Admin-Konten reduzieren, LAPS bzw. ein PAM-Verfahren einsetzen und Rechteausweitungen im Gast priorisiert behandeln. Gast-Härtung ist hier die direkte Vorbedingungs-Kontrolle.
      • Angriffsfläche des VMX reduzieren (Konfiguration): Nicht benötigte virtuelle Geräte und Schnittstellen entfernen. Dazu gehören unbenutzte USB-Controller, serielle und parallele Ports, CD/DVD-Laufwerke, VMCI-Funktionen, HGFS/Shared Folders sowie Copy/Paste und Drag-and-Drop in Workstation. Grundlage sind die VMware-Härtungsleitlinien, z. B. isolation.tools.copy.disable = TRUE. Diese Maßnahme ersetzt den Patch nicht.
      • Host-Härtung (Endpoint): ESXi-Lockdown-Mode aktivieren, SSH und ESXi Shell deaktivieren, VMkernel.Boot.execInstalledOnly sowie Secure Boot und TPM aktivieren. Damit wird die Persistenz nach einem Escape erschwert.
      • Netzsegmentierung: Die ESXi-Management-Netze (vmk0) und vCenter in ein dediziertes Management-VLAN legen. Ausgehende Verbindungen von ESXi-Hosts ins Internet sowie in Nutzer-VLANs per Firewall blockieren. Das unterbindet C2-Verbindungen und laterale Bewegung nach einem Escape.
      • Workarounds: Keine spezifischen Hinweise aus dem Vendor-Advisory liegen im Kontext vor. Die Workaround-Lage im Broadcom-Advisory prüfen und die übrigen Maßnahmen als Überbrückung behandeln, nicht als Ersatz für das Patchen.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • VMX-Abstürze und Core-Dumps (ESXi-Logs): Im Syslog bzw. SIEM nach unerwarteten VMX-Abbrüchen suchen. Relevante Quellen sind vmware.log im VM-Verzeichnis sowie vmkernel.log und hostd.log, Suchmuster z. B. "VMX" AND ("PANIC" OR "core dump" OR "Unexpected signal"). Hinzu kommen neue vmx-zdump-Dateien. Fehlgeschlagene Race-Condition-Versuche erzeugen häufig Abstürze.
      • Anomale Prozesse auf dem Host: In shell.log und auth.log auf ESXi nach unbekannten Binaries, Shell-Starts ohne Admin-Anmeldung oder Prozessen mit vmx als Elternprozess suchen. SPL-Beispiel: index=esxi sourcetype=*shell* NOT user IN (known_admins).
      • Gast-seitige Vorbedingungen (Windows/Sysmon): Relevant sind das Laden neuer Kernel-Treiber (Sysmon EID 6, System EID 7045), Rechteausweitungen auf Admin oder SYSTEM (Security EID 4672/4688) und anschließend Zugriffe auf VMware-Tools- oder VMCI-Komponenten. Sigma-Muster: ImageLoaded|contains: '\drivers\' kombiniert mit Signed: 'false'.
      • Netzwerk-Telemetrie (Zeek/Suricata): Neue ausgehende Verbindungen von ESXi-Management-IPs zu externen Zielen oder Nutzersegmenten sind verdächtig. KQL-Beispiel: CommonSecurityLog | where SourceIP in (esxi_hosts) and not(ipv4_is_private(DestinationIP)).
      • Integritätsabweichungen: Neue, nicht autorisierte VIBs (esxcli software vib list), geänderte /etc/rc.local.d/local.sh sowie Änderungen an Firewall-Regeln des Hosts als Persistenz-Indikator überwachen.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    VMware ESXi und Workstation enthalten eine TOCTOU (Time-of-Check Time-of-Use) Schwachstelle, die zu einem Schreibzugriff außerhalb der Grenzen führt. Ein böswilliger Akteur mit lokalen administrativen Berechtigungen auf einer virtuellen Maschine kann diese Schwachstelle ausnutzen, um Code als Prozess des VMX der virtuellen Maschine auf dem Host auszuführen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: cvelistv5, pwn.watch, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE), CSA/SingCERT

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    VMwareESXi
    • ≥ 8.0
    • ≥ 7.0
    • —
    • —
    VMwareTelco Cloud Infrastructure
    • 3.x, 2.x
    • —
    VMwareTelco Cloud Platform
    • 5.x, 4.x, 3.x, 2.x
    • —
    VMwareVMware Cloud Foundation
    • 5.x, 4.5.x
    • —
    VMwareWorkstation
    • 17.x – < 17.6.3
    • 17.6.3
    vmwarecloud_foundation
    • —
    • —
    vmwaretelco_cloud_infrastructure
    • 2.7
    • 2.5
    • 2.2
    • 3.0
    • —
    • —
    • —
    • —
    vmwaretelco_cloud_platform
    • 4.0.1
    • 2.5
    • 2.7
    • 4.0
    • 3.0
    • 2.0
    • 5.0
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    vmwareworkstation
    • 17.0 – < 17.6.3
    • 17.6.3

    Hersteller und Produkte

    Betroffene Betriebssysteme

    Betroffene Betriebssysteme
    Othervmwareesxi7.0
    Othervmwareesxi8.0

    Weakness-Klassen (CWE)

    • CWE-367Time-of-check Time-of-use (TOCTOU) Race Condition

      Base

      The product checks the state of a resource before using that resource, but the resource's state can change between the check and the use in a way that invalidates the results of the check.

      Eintrag bei MITRE CWE-367

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    CSA/SingCERTMultiple Vulnerabilities in VMware Products (öffnet in neuem Tab)CSA/SingCERTaktiv ausgenutzt

    Quellen & Referenzen

    • support.broadcom.comVMware advisory: VMware ESXi and WorkstationHerstellerhinweis, pwn-watch
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-22224government-resource, US-Behörde
    • cert.atCERT.at: Kritische Sicherheitslücken in VMware ESXi, Workstation und Fusion - aktiv ausgenutzt - Updates verfügbarcert-at
    • pwn.watchpwn.watch: VMware ESXi and Workstation: ESXi and Workstation TOCTOU Race Condition Vulnerabilitypwn-watch
    • NVD (NIST)NVD: CVE-2025-22224pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2025-22224
    <a href="https://intel.neosec.eu/cve/CVE-2025-22224"><img src="https://intel.neosec.eu/badge/cve/CVE-2025-22224.svg" alt="CVE-2025-22224 – NEOSEC Intel" height="20"></a>