Producto(s) afectado(s):
- VMware ESXi 7.0 y 8.0
- VMware vCenter Server 7.0 y 8.0
- VMware Cloud Foundation
- VMware Workstation 17.x
- VMware Fusion 13.x
- VMware Telco Cloud Platform and Infrastructure
Descripción
Broadcom ha publicado parches para corregir cuatro fallas de seguridad detectadas en productos de VMware como ESXi, vCenter Server, Workstation Pro y Fusion. Estas fallas pueden permitir desde la ejecución de comandos no autorizados hasta ataques de denegación de servicio (DoS) y robo de información mediante XSS.
- CVE-2025-41225 – Ejecución de comandos arbitratios en vCenter Server
Un atacante con privilegios puede ejecutar comandos maliciosos en el servidor vCenter si puede modificar alarmas o ejecutar scripts.
Riesgo: Alto (CVSS 8.8)
- CVE-2025-41226 – Denegación de servicio desde una máquina virtual
Un usuario con acceso de invitado puede causar una caída del servicio en máquinas virtuales usando VMware Tools.
Riesgo: Medio (CVSS 6.8)
- CVE-2025-41227 – Agotamiento de memoria en host ESXi
Un atacante con pocos privilegios puede desestabilizar el sistema host causando consumo excesivo de memoria.
Riesgo: Medio (CVSS 5.5)
- CVE-2025-41228 – XSS reflejado en vCenter/ESXi
Permite robar cookies o redirigir usuarios a sitios maliciosos desde la página de inicio de sesión si no hay validación de entrada.
Riesgo: Bajo (CVSS 4.3)
solución:
Se recomienda aplicar las actualizaciones lo antes posible para mitigar los riesgos.
- ESXi: 8.0 U3se-24659227 y 7.0 U3sv-24723868
- vCenter Server: 8.0 U3e y 7.0 U3v
- Workstation/Fusion: 17.6.3 y 13.6.3
Las actualizaciones las puede encontrar aquí
- https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3e-release-notes.html
- https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/7-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-70u3v-release-notes.html
- https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/vcenter-server-update-and-patch-release-notes/vsphere-vcenter-server-80u3e-release-notes.html
- https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/7-0/release-notes/vcenter-server-update-and-patch-releases/vsphere-vcenter-server-70u3v-release-notes.html