Kritische Sicherheitslücken in tausenden deutschen VMware-Systemen

Deutschland steht auf Platz vier der am stärksten von den neuen VMware-Sicherheitslücken betroffenen Länder. Über 2500 verwundbare Server sind hierzulande gefährdet. Die kritischen Schwachstellen ermöglichen Angreifern den Ausbruch aus VMs.

Gefährliche Schwachstellen in VMware-Produkten

VMware, ein führender Anbieter von Virtualisierungssoftware, steht vor einer ernsthaften Herausforderung. Drei kritische Sicherheitslücken in beliebten Produkten wie ESXi, Workstation und Fusion ermöglichen Angreifern, aus virtuellen Maschinen auszubrechen und Kontrolle über Host-Systeme zu erlangen. Besonders besorgniserregend: Diese Schwachstellen werden bereits aktiv ausgenutzt.

Die gravierendste Lücke (CVE-2025-22224) erhielt einen CVSS-Score von 9,3 und gilt als kritisch. Sie ermöglicht es Angreifern mit lokalen Administratorrechten in einer VM, Code im VMX-Prozess des Hostsystems auszuführen. Zwei weitere Schwachstellen (CVE-2025-22225 und CVE-2025-22226) gelten als hochriskant und können zu Sandbox-Ausbrüchen und Informationslecks führen.

Die VMware-Schwachstellen in der Übersicht:

Wie Golem berichtet, sind weltweit über 37.000 VMware-Systeme anfällig für diese Angriffe. Deutschland steht mit rund 2500 gefährdeten Servern auf dem vierten Platz der am stärksten betroffenen Länder. Nur China, Frankreich und die USA verzeichnen mehr verwundbare Instanzen. Diese Zahlen unterstreichen die Dringlichkeit der Situation für deutsche Unternehmen und Organisationen. Die gemeinnützige Sicherheitsorganisation Shadowserver Foundation liefert auf einem Dashboard zu den Lücken aktuelle Zahlen.

Broadcom, der neue Eigentümer von VMware, hat umgehend Sicherheitsupdates veröffentlicht. Betroffen sind verschiedene Versionen von VMware ESXi, Workstation, Fusion, Cloud Foundation und Telco Cloud Platform. IT-Administratoren wird dringend empfohlen, diese Patches so schnell wie möglich zu installieren, um potenzielle Angriffe zu verhindern.

Weitreichende Konsequenzen möglich

Die Auswirkungen dieser Sicherheitslücken könnten erheblich sein, insbesondere in Cloud-Umgebungen. Ein erfolgreicher Angriff könnte es Hackern ermöglichen, auf sensible Daten zuzugreifen, weitere Systeme zu kompromittieren oder sogar ganze Netzwerke zu übernehmen. In Anbetracht der weitverbreiteten Nutzung von VMware-Produkten in Unternehmen und Rechenzentren weltweit ist das Schadenpotenzial beträchtlich.

Die US-amerikanische Cybersicherheitsbehörde CISA hat die Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und fordert Bundesbehörden auf, bis zum 25. März 2025 Patches zu installieren. Eine ähnliche Warnung vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) steht noch aus.

Hintergrundinformationen

VMware ESXi ist ein Type-1-Hypervisor, der direkt auf der Hardware läuft, während Workstation (für Windows und Linux) und Fusion (für macOS) als Type-2-Hypervisoren auf einem Betriebssystem aufsetzen. Diese Virtualisierungssoftware ermöglicht es, mehrere virtuelle Maschinen auf einem physischen Computer zu betreiben. Zur Erläuterung:

Was bedeutet Hypervisor?
Ein Hypervisor ist sozusagen der "Dirigent" in der Virtualisierung. Er verwaltet und steuert die Ressourcen des physischen Computers und teilt sie den virtuellen Maschinen zu.
1. VMware ESXi
2. VMware Workstation (für Windows und Linux)
3. VMware Fusion (für macOS)

Vorgeschichte

Broadcom hatte VMware im November 2023 für rund 69 Milliarden US-Dollar übernommen und das Unternehmen anschließend in vier Geschäftsbereiche reorganisiert:


Für VMware ist dies nicht der erste schwerwiegende Sicherheitsvorfall. Bereits 2022 wurden VMware-Produkte von der sogenannten Log4Shell-Schwachstelle betroffen, die Angreifer ausnutzten, um Hintertüren zu installieren und Kryptowährungen zu schürfen.

Wie geht ihr mit dieser VMware-Bedrohung um? Habt ihr bereits Erfahrungen mit den Patches gemacht? Teilt eure Einschätzungen und Strategien in den Kommentaren!

Download VMware Workstation Pro - Virtualisierungslösung
Siehe auch: