BSI warnt vor kritischer Lücke bei VMware:
Sofortmaßnahmen nötig

VMware hat bestätigt, dass es in einigen VMware-Produkten Sicherheits­lücken gibt. Die Schwachstellen wurden dabei als kritisch einge­stuft. Nun stehen für einen Teil der Si­cher­heits­lü­cken Übergangslösungen bereit, an Updates wird gearbeitet.

Schwachstelle in USB-Controllern

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt bereits vor der möglichen Ausnutzung und empfiehlt, Aktualisierungen zu nutzen, sobald sie verfügbar sind. Betroffen sind unter anderem die USB-Controller in verschiedenen Lösungen von VMWare.

VMware hat für einen Großteil der betroffenen Produkte eine vorübergehende Lösung zur Abschwächung des Problems veröffentlicht. In den Fällen, in denen VMWare bisher keine Übergangslösung bereitstellt, heißt es daher nur abwarten. VMWare empfiehlt, soweit das möglich ist, dass USB-Controller vorübergehend aus virtuellen Maschinen entfernt werden.


Die Sicherheitswarnung beschreibt vier Schwachstellen mit den Bezeichnungen CVE-2024-22252, CVE-2024-22253, CVE-2024-22254 und CVE-2024-22255. Die CVSS v3-Scores reichen von 7,1 bis 9,3, wobei alle als kritisch eingestuft werden. Sie könnten es Angreifern ermöglichen, virtuelle Maschinen zu umgehen und auf das Host-Betriebssystem zuzugreifen.

Diese Art von Schwachstellen sind kritisch, da sie Angreifern den unbefugten Zugriff auf das Hostsystem, auf dem ein Hypervisor installiert ist, oder den Zugriff auf andere virtuelle Maschinen, die auf demselben Host laufen, ermöglichen und so deren Isolierung durchbrechen. Eine Liste der VMware-Produkte ist auf der Support-Webseite des Unternehmens verfügbar und am Ende dieses Beitrags mit angehängt.

VMware empfiehlt Unternehmen, die die betroffenen Lösungen einsetzen, ein Workaround zu nutzen. Derzeit ist dem Unternehmen nicht bekannt, dass es eine aktiv ausgenutzte Sicherheitslücke gibt.

Die betroffenen Anwendungen sind:

Siehe auch: