SecBoard
Zurück zur CVE-Übersicht

CVE-2025-41244

HIGH(7.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score52/100 — HOCH
  • CVSS 7.8 — Hoch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

8.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

SecBoard-Einordnung

CVE-2025-41244 betrifft VMware Aria Operations und VMware Tools und stellt eine Schwachstelle zur lokalen Privilegienerhöhung dar. Ein lokaler Angreifer ohne administrative Rechte kann diese nutzen, um auf einer VM mit installierten VMware Tools und aktiviertem SDMP die Privilegien auf Root-Ebene zu eskalieren. Die Schwachstelle betrifft unter anderem VMware Aria Operations, Cloud Foundation, Open VM Tools und Telco Cloud Infrastructure. Die Ausnutzung erfordert bereits Zugriff auf die betroffene VM. Mit einem CVSS-Score von 7.8 (HIGH) und einer EPSS-Wahrscheinlichkeit von 8% ist die Schwachstelle als signifikant einzustufen. Besonders kritisch ist, dass sie im KEV-Katalog gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird. Dies unterstreicht die Dringlichkeit der Behebung, da reale Angriffe bereits stattfinden. Security-Teams sollten umgehend alle betroffenen VMware-Produkte identifizieren und die vom Hersteller bereitgestellten Patches einspielen. Wo Patches noch nicht verfügbar sind, müssen temporäre Mitigationen oder Workarounds implementiert und die betroffenen Systeme genau überwacht werden. Die Priorisierung ist aufgrund der aktiven Ausnutzung sehr hoch.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

VMware Aria Operations and VMware Tools contain a local privilege escalation vulnerability. A malicious local actor with non-administrative privileges having access to a VM with VMware Tools installed and managed by Aria Operations with SDMP enabled may exploit this vulnerability to escalate privileges to root on the same VM.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). NVISO has identified zero-day exploitation in the wild beginning mid-October 2024. NVISO determined with confidence that UNC5174 triggered the local privilege escalation.

Behobene Versionen

  • open-vm-tools versions 12.4.0, 12.4.5, 12.5.0, 13.0.0: CVE-2025-41244-1240-1300-SDMP.patch
  • open-vm-tools versions 12.3.0, 12.3.5: CVE-2025-41244-1230-1235-SDMP.patch
  • open-vm-tools versions 12.0.0, 12.0.5, 12.1.0, 12.1.5, 12.2.0, 12.2.5: CVE-2025-41244-1200-1225-SDMP.patch
  • open-vm-tools versions 11.2.0, 11.2.5, 11.3.0, 11.3.5: CVE-2025-41244-1120-1135-SDMP.patch
  • Debian 11 bullseye: 2:11.2.5-2+deb11u5

Threat-Hunting-Queries

Detects execution of the get-versions.sh script with unusual parameters or by unprivileged users, indicating potential exploitation of the local privilege escalation vulnerability.

Sentinel/Defender KQL

DeviceProcessEvents
| where FileName == "get-versions.sh"
| where InitiatingProcessAccountName !contains "root" // Adjust based on expected privileged users
| where ProcessCommandLine contains "-v" or ProcessCommandLine contains "--version" // Example of version command, refine based on actual exploit patterns
| project Timestamp, DeviceName, InitiatingProcessAccountName, ProcessCommandLine, FolderPath, SHA256

Splunk SPL

index=* sourcetype=linux_audit (process="get-versions.sh" OR command="get-versions.sh") NOT user="root" | table _time, host, user, cmdline

Sigma

title: VMware open-vm-tools Local Privilege Escalation
id: 00000000-0000-0000-0000-000000000000
status: experimental
description: Detects potential exploitation of CVE-2025-41244 in open-vm-tools by monitoring for suspicious execution of get-versions.sh.
author: SecBoard
date: 2025/10/01
logsource:
  category: process_creation
  product: linux
detection:
  selection:
    Image|endswith: '/get-versions.sh'
    ParentImage|contains: 'vmtoolsd'
    User|startswith: 'vmware'
    User|!endswith: 'root'
  condition: selection
fields:
  - Image
  - CommandLine
  - User
  - ParentImage
tags:
  - attack.privilege_escalation
  - cve.2025.41244

Elastic ES|QL

from process where process.executable : "*get-versions.sh" and not user.name : "root" and process.args : ("-v", "--version")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:vmware:aria_operations:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:cloud_foundation:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:cloud_foundation_operations:9.0:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:open_vm_tools:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:open_vm_tools:13.0.0:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:telco_cloud_infrastructure:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:telco_cloud_platform:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:tools:*:*:*:*:*:*:*:*
  • cpe:2.3:a:vmware:tools:*:*:*:*:*:*:*:*

Referenzen