Trong thế giới ảo hóa ngày nay, VMware là một trong những nền tảng hàng đầu được các doanh nghiệp sử dụng để quản lý máy ảo (VM).Một lỗ hổng zero-day nghiêm trọng vừa được công bố: CVE-2025-41244, được khai thác trong thực tế từ giữa tháng 10/2024, cho phép kẻ tấn công nâng quyền truy cập cục bộ lên mức root, đe dọa toàn bộ hệ thống.
Tổng Quan
CVE-2025-41244 là một lỗ hổng nâng quyền truy cập cục bộ (local privilege escalation) trong VMware Tools và VMware Aria Operations. Nó được phân loại theo CWE-426 (Untrusted Search Path), nghĩa là hệ thống tìm kiếm và thực thi các file nhị phân không đáng tin cậy từ các đường dẫn có thể bị ghi đè bởi người dùng thông thường.
Cụ thể, lỗ hổng nằm trong script shell get-versions.sh của open-vm-tools – phiên bản mã nguồn mở của VMware Tools, được tích hợp sẵn trên hầu hết các bản phân phối Linux lớn như Ubuntu, CentOS hay Red Hat. Script này chịu trách nhiệm "phát hiện dịch vụ" (service discovery), quét và xác định phiên bản của các dịch vụ chạy trên máy ảo, chẳng hạn như Apache HTTP Server (httpd). Để làm điều này, script sử dụng các biểu thức chính quy (regex) quá rộng, ví dụ: /\S+/(httpd-prefork|httpd|httpd2-prefork)($|\s), cho phép nó khớp với bất kỳ file nào có tên tương tự, ngay cả khi chúng nằm trong thư mục có thể ghi được như /tmp.
Theo đánh giá của Broadcom (chủ sở hữu VMware), lỗ hổng này có mức độ nghiêm trọng cao (high-severity), mặc dù điểm CVSS v3.1 chưa được công bố chính thức. Nó ảnh hưởng đến:
VMware Tools (bao gồm open-vm-tools) phiên bản 13.x (trước 13.0.5.0) và 12.x (trước 12.5.4).
VMware Aria Operations trong chế độ phát hiện dịch vụ dựa trên thông tin xác thực (credential-based) hoặc không (credential-less).
Lỗ hổng được phát hiện bởi các nhà nghiên cứu tại NVISO Labs trong quá trình phản ứng sự cố (incident response) vào tháng 5/2025, và Broadcom đã công bố bản vá vào ngày 29/9/2025 qua thông báo bảo mật VMSA-2025-0015.
Cơ Chế Khai Thác
Hãy tưởng tượng một kẻ tấn công đã có quyền truy cập cục bộ hạn chế trên một máy ảo Linux (ví dụ: qua một tài khoản người dùng thông thường). Với CVE-2025-41244, việc nâng quyền lên root chỉ mất vài bước đơn giản:
Chuẩn bị binary độc hại: Kẻ tấn công tạo một file thực thi giả mạo, ví dụ đặt tên là httpd và đặt nó vào thư mục /tmp (một thư mục mà bất kỳ người dùng nào cũng có thể ghi). Binary này phải đang chạy và lắng nghe trên một socket để "giả dạng" như một dịch vụ hợp lệ.
Chờ script chạy: Script get-versions.sh của VMware Tools chạy định kỳ (mỗi 5 phút trong chế độ credential-less) để quét các tiến trình. Khi nó phát hiện binary giả mạo qua regex rộng, script sẽ thực thi binary đó với quyền cao hơn – thường là root – kèm theo tham số như -v để lấy phiên bản.
Thực thi mã độc: Binary độc hại sẽ kết nối ngược (reverse shell) về máy của kẻ tấn công, trao quyền root đầy đủ. Một proof-of-concept (PoC) đơn giản bằng Go có thể tạo ra shell nâng quyền chỉ trong vài giây.
Dưới đây là ví dụ mã snippet từ script bị ảnh hưởng (trích từ phân tích của NVISO):
get_version() {
PATTERN=$1
VERSION_OPTION=$2
for p in $space_separated_pids
do
COMMAND=$(get_command_line $p | grep -Eo "$PATTERN")
[ ! -z "$COMMAND" ] && echo VERSIONSTART "$p" "$("${COMMAND%%[[:space:]]*}" $VERSION_OPTION 2>&1)" VERSIONEND
done
}
# Gọi hàm với regex rộng
get_version "/\S+/(httpd-prefork|httpd|httpd2-prefork)($|\s)" -v
Vì regex không giới hạn đường dẫn hệ thống (như /usr/bin/), nó dễ dàng khớp với /tmp/httpd, dẫn đến thực thi không mong muốn. Khai thác này không yêu cầu quyền admin ban đầu, chỉ cần quyền local user, và có thể được tự động hóa qua các công cụ như Metasploit.
Tác Động Và Các Trường Hợp Khai Thác Thực Tế
Tác động của CVE-2025-41244 là nghiêm trọng: Kẻ tấn công có thể thực thi mã tùy ý với quyền root, dẫn đến kiểm soát toàn bộ máy ảo, đánh cắp dữ liệu, cài đặt backdoor, hoặc lan rộng sang các VM khác trong môi trường ảo hóa. Trong các hệ thống đám mây hoặc doanh nghiệp lớn, điều này có thể gây gián đoạn dịch vụ lớn, mất dữ liệu nhạy cảm, hoặc thậm chí là bước đệm cho các cuộc tấn công ransomware.
Đáng lo ngại hơn, lỗ hổng đã bị khai thác zero-day trong thực tế từ giữa tháng 10/2024 bởi nhóm UNC5174 một threat actor được cho là do nhà nước Trung Quốc tài trợ, chuyên về các chiến dịch tiếp cận ban đầu (initial access broker). NVISO phát hiện dấu vết khai thác trong các sự cố liên quan đến UNC5174 vào tháng 5/2025, nhưng do tính đơn giản của exploit, có thể nhiều malware khác đã vô tình lợi dụng nó trong nhiều năm qua.
Thời gian biểu chính:
Tháng 10/2024: Khai thác zero-day đầu tiên được ghi nhận.
Tháng 5/2025: NVISO xác định lỗ hổng qua phân tích forensic.
29/9/2025: Broadcom phát hành bản vá.
Broadcom bị chỉ trích vì không tiết lộ sớm về việc khai thác zero-day, dẫn đến khoảng cách bảo mật kéo dài gần một năm.
Khuyến Nghị Khắc Phục Và Phòng Ngừa
Phía FPT threat Intelligent khuyến nghị các biện pháp để bảo vệ hệ thống:
Áp dụng bản vá:
Nâng cấp VMware Tools lên phiên bản 13.0.5.0 (cho dòng 13.x) hoặc 12.5.4 (cho dòng 12.x).
Đối với open-vm-tools trên Linux, cập nhật qua package manager (ví dụ: apt update && apt upgrade open-vm-tools trên Ubuntu).
Kiểm tra advisory chính thức tại Broadcom Support.
Giải pháp tạm thời:
Phát hiện và giám sát:
Giám sát tiến trình con từ vmtoolsd hoặc get-versions.sh bằng công cụ như Sysdig hoặc ELK Stack. Tìm kiếm các lệnh bất thường như /tmp/httpd -v.
Kiểm tra thư mục /tmp/VMware-SDMP-Scripts-{UUID}/ để tìm dấu vết script collector.
Sử dụng EDR (Endpoint Detection and Response) để phát hiện hành vi nâng quyền.
Áp dụng nguyên tắc least privilege: Không chạy VMware Tools với quyền root nếu có thể.
Thường xuyên quét lỗ hổng bằng công cụ như Nessus hoặc OpenVAS, và theo dõi các advisory từ CISA hoặc NIST.
| Biện pháp | Mô tả | Ưu tiên |
| Cập nhật patch | Nâng cấp VMware Tools/Aria Operations | Cao |
| Giám sát tiến trình | Theo dõi vmtoolsd và /tmp | Trung bình |
| Vô hiệu hóa tính năng | Tắt service discovery nếu không dùng | Thấp |
| Kiểm toán quyền | Áp dụng RBAC và SELinux | Cao |
Tham khảo
https://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36149
https://cybersecuritynews.com/vmware-tools-0-day-vulnerability/
