พบช่องโหว่หลายรายการในผลิตภัณฑ์ VMware

NCSA_THAICERT

เมื่อวันที่ 17 กรกฎาคม 2568 Cyber Security Agency of Singapore (CSA) รายงานว่ามีการปล่อยการอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่หลายรายการที่ส่งผลกระทบต่อผลิตภัณฑ์ของ VMware โดยผู้ใช้งานและผู้ดูแลระบบควรอัปเดตเป็นเวอร์ชันล่าสุด

ทาง Broadcom ได้ปล่อยการอัปเดตด้านความปลอดภัยเพื่อจัดการกับช่องโหว่หลายรายการ ได้แก่ CVE-2025-41236, CVE-2025-41237, CVE-2025-41238, และ CVE-2025-41239 ที่ส่งผลกระทบต่อ VMware ESXi, Workstation, Fusion, และ Tools

ผลกระทบ

CVE-2025-41236 ช่องโหว่ประเภท integer overflow หากมีการใช้ประโยชน์จาก VMXNET3 virtual network adapter ได้สำเร็จ อาจทำให้ผู้โจมตีที่มีสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือน (virtual machine) ที่ใช้ adapter ดังกล่าว จะสามารถ execute code บนเครื่องโฮสต์ได้ มีคะแนน CVSS ที่ 9.3
CVE-2025-41237 การใช้ประโยชน์จากช่องโหว่ของการหักล้างจำนวนเต็มใน VMCI (Virtual Machine Communication Interface) อาจทำให้ผู้โจมตีที่มีสิทธิ์การดูแลระบบในเครื่องเสมือนสามารถดำเนินการโค้ดในฐานะกระบวนการ VMX ของเครื่องเสมือนที่ทำงานบนโฮสต์ได้ ในกรณีของ ESXi การโจมตีจะถูกจำกัดภายในสภาพแวดล้อม VMX sandbox แต่ในกรณีของ Workstation และ Fusion อาจทำให้เกิดการดำเนินการโค้ดบนเครื่องที่ติดตั้ง Workstation หรือ Fusion ช่องโหว่นี้มีคะแนน CVSSv3 ที่ 9.3
CVE-2025-41238 การใช้ประโยชน์จากช่องโหว่ของการล้นของหน่วยความจำในตัวควบคุม PVSCSI (Paravirtualised SCSI) อาจทำให้ผู้โจมตีที่มีสิทธิ์การดูแลระบบในเครื่องเสมือนสามารถดำเนินการโค้ดในฐานะกระบวนการ VMX ของเครื่องเสมือนที่ทำงานบนโฮสต์ได้ ในกรณีของ ESXi การโจมตีจะถูกจำกัดภายในสภาพแวดล้อม VMX sandbox และสามารถใช้ประโยชน์ได้เฉพาะกับการตั้งค่าที่ไม่ได้รับการสนับสนุน แต่ในกรณีของ Workstation และ Fusion อาจทำให้เกิดการดำเนินการโค้ดบนเครื่องที่ติดตั้ง Workstation หรือ Fusion ช่องโหว่นี้มีคะแนน CVSSv3 ที่ 9.3
CVE-2025-41239
การใช้ประโยชน์จากช่องโหว่การเปิดเผยข้อมูลใน vSockets อาจทำให้ผู้โจมตีที่มีสิทธิ์การดูแลระบบในเครื่องเสมือนสามารถเปิดเผยหน่วยความจำจากกระบวนการที่ติดต่อกับ vSockets ช่องโหว่นี้มีคะแนน CVSSv3 ที่ 7.1

ผลิตภัณฑ์ที่ได้รับผลกระทบ
ผลิตภัณฑ์ VMware ต่อไปนี้ได้รับผลกระทบ

VMware Cloud Foundation รุ่น 4.5.x
VMware vSphere Foundation รุ่น 9.0.0.0
VMware ESXi รุ่น 8.0 และ 7.0
VMware Workstation รุ่น 17.x
VMware Fusion รุ่น 13.x
VMware Tools รุ่น 13.x.x, 12.x.x, และ 11.x.x
VMware Telco Cloud Platform รุ่น 5.x, 4.x, 3.x, และ 2.x
VMware Telco Cloud Infrastructure รุ่น 3.x และ 2.x

คำแนะนำ
ผู้ใช้งานและผู้ดูแลระบบของผลิตภัณฑ์ที่ได้รับผลกระทบควรอัปเดตเป็นเวอร์ชันล่าสุด

อ้างอิง
https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2025-073/

สามารถติดตามข่าวสารได้ที่ webboard หรือ Facebook NCSA Thailand