VMSA-2025-0015: VMware Aria Operations and VMware Tools updates address multiple vulnerabilities (CVE-2025-41244,CVE-2025-41245, CVE-2025-41246)

CVE-2025-41244 é uma escalada de privilégios local (CWE-426, caminho de busca não confiável) no recurso de descoberta de serviços (SDMP) do VMware Tools/open-vm-tools quando gerenciado pelo VMware Aria Operations. Um usuário local sem privilégios administrativos pode fazer com que um binário malicioso seja executado como root durante a coleta de versões de serviços. A CVSS 7.8 é justificada: a NVISO documentou exploração como zero-day in-the-wild desde outubro de 2024, atribuída com confiança ao grupo UNC5174, e a falha está no catálogo KEV da CISA.

A causa está no script get-versions.sh do plugin de Service Discovery (SDMP), presente tanto no open-vm-tools (modo 'credential-less', onde a própria VMware Tools coleta as versões com seus privilégios elevados) quanto na lógica equivalente do VMware Aria Operations (modo 'credential-based', onde Aria injeta scripts coletores usando um usuário privilegiado dentro do guest). A função genérica get_version() recebe um padrão regex e um comando de versão (ex.: '-v', '--version'), percorre a lista de PIDs com socket em escuta, casa o caminho do binário do processo contra o regex e, se houver match, executa esse binário com o parâmetro de versão.

O problema é que vários dos regex usados (para httpd, apache, mysqld, nginx, vmware-dr, dataserver) empregam a classe \S+ (qualquer caractere não-espaço) para o caminho do binário, em vez de restringir a diretórios de sistema. Isso faz o padrão casar também binários em diretórios graváveis por qualquer usuário, como /tmp (ex.: /tmp/httpd). Como a rotina de coleta roda no contexto privilegiado (root, via Aria Operations ou via VMware Tools), qualquer binário que caia nesse regex é executado com privilégios elevados — o atacante controla o próprio binário e o momento em que ele aparece na lista de processos com socket aberto.

Pré-requisitos reais, importantes para triagem: (1) acesso local à VM como usuário não-administrativo — não é falha remota; (2) a VM precisa estar sob gestão do VMware Aria Operations (ou VCF Operations/Telco Cloud Platform/Infrastructure que embutem Aria Operations) com o Service Discovery Management Pack (SDMP) habilitado; VMware Tools sozinho, sem Aria/SDMP monitorando a VM, não expõe a superfície de ataque documentada pelo fornecedor. Na prática, o atacante local cria/copia um binário para um caminho não-privilegiado que casa com um dos regex vulneráveis (ex.: nome 'httpd', 'nginx', 'mysqld' etc. em /tmp), garante que ele apareça como processo em execução (visível na lista de PIDs) e abra pelo menos um socket TCP em escuta (mesmo em porta aleatória) para ser capturado pela rotina de descoberta. Quando o SDMP invoca esse binário com o argumento de versão, ele roda no contexto privilegiado do coletor — na prática, root — dando ao atacante execução de código arbitrário com privilégios totais na mesma VM. Há PoC pública demonstrando o mecanismo (abertura de listener dummy + listener Unix para trocar stdin/stdout/stderr do processo elevado) e exploração confirmada em campo pela Broadcom, associada por pesquisadores ao ator UNC5174, usado tipicamente após obtenção de acesso inicial não-privilegiado à VM.

Procure processos com nomes que casam os padrões vulneráveis (httpd, httpd-prefork, httpd2-prefork, variantes de apache, mysqld, nginx, vmware-dr, dataserver) executando a partir de caminhos não-padrão e graváveis por usuários comuns, como /tmp, /var/tmp ou diretórios home — especialmente se o processo abre um socket TCP em escuta sem função aparente e é seguido, minutos depois, pela execução do mesmo binário com argumento de versão (-v, --version, -V) sob UID root. Em logs de EDR/auditoria de processos, o padrão chave é: processo não-root cria um binário fora de diretórios de sistema, o binário aparece com socket em LISTEN, e há uma invocação subsequente do mesmo caminho por um processo pai relacionado a vmtoolsd, ao serviço de SDMP do Aria Operations, ou a scripts de coleta de métricas injetados via Aria — isso indica exploração bem-sucedida ou tentativa. Não há assinatura de rede confiável, pois a exploração é inteiramente local; a telemetria precisa vir de auditoria de processos no guest (auditd, EDR) e não de tráfego.