Skip to content

VMware ESXi HGFS out-of-bounds read info disclosure (CVE-2025-22226)

Host-Guest File System (HGFS) implementasyonundaki bir out-of-bounds read, VM admin ayrıcalıklı bir guest'in host vmx process belleğini sızdırmasına izin verir — vahşi doğadaki "ESXicape" zincirinin information-disclosure primitive'i (VMSA-2025-0004).

Mechanism

Note

Host-Guest File System (HGFS), bir guest'in host vmx process'i aracılığıyla shared folder'lara karşı dosya operasyonları talep etmesine izin veren bir paravirtual transport'tur. Isolation invariant'ı şudur: bir guest'in bir HGFS request paketine koyduğu herhangi bir length, offset ya da count field'ı, host o belleği okumadan ya da guest'e geri kopyalamadan önce host tarafındaki buffer'ın gerçek sınırlarına karşı doğrulanmalıdır. CVE-2025-22226 bir out-of-bounds read (CWE-125)'tir: HGFS request handler'ı guest-kontrollü bir size/offset'e güvenir ve process-içi bir buffer'ın sonunu aşarak okur, reply içinde komşu vmx heap/stack içeriğini geri döndürür. Burada hiçbir şey belleğe yazmaz — ama leak ASLR'ı yener ve ayrı bir memory-corruption bug'ını güvenilir bir escape'e dönüştüren pointer'ları/ secret'ları açığa çıkarır. Açıklanan attack chain'inde bu, VMCI corruption (CVE-2025-22224) ve kernel-write (CVE-2025-22225) primitive'lerini besleyen "read" yarısıydı.

Bu, guest-to-host info leak'leri boyunca tekrar eden klasik "shared device channel üzerinde güvenilen length field" pattern'idir; bkz. Info leak / pointer leak / ASLR bypass ve read tarafındaki double-fetch endişesi için Double-fetch shared-memory ring TOCTOU.

Walkthrough

Public reference: VMSA-2025-0004 ve Microsoft Threat Intelligence (MSTIC) açıklaması; sonradan "HGFS for information leaking" diye tanımlayan toolkit analiziyle doğrulandı. Kavramsal, weaponize edilmemiş yol:

High-level conceptual steps
  1. Bir guest VM'den (HGFS'yi sürmek için gereken ayrıcalıklarla), bildirilen length/offset'i handler'ın hizmet vereceği host tarafındaki buffer'ı aşan bir HGFS request paketi hazırlayın.
  2. Host vmx HGFS handler'ı, guest-sağlanan size'ı yeterli bir bounds check olmadan kullanır ve amaçlanan buffer'ı aşarak okur.
  3. Guest'e geri dönen reply over-read byte'larını içerir — komşu host process belleği (heap chunk'ları, pointer'lar, VMX configuration file context'inden configuration/secret materyali).
  4. Guest ASLR'ı yenmek için sızdırılan host pointer'larını toplar ve eşleştirilmiş bir corruption primitive'inin ihtiyaç duyduğu address bilgisini sağlar.

Warning

Bu, bug sınıfı için belgelenmiş, patch'li, vahşi doğada görülmüş bir sorundur. Offset, packet field layout'u ya da PoC sağlanmamıştır. Çıkarım şudur: bir info-leak tek başına kod çalıştırmaz; çok-bug'lı bir escape'in keşif (reconnaissance) aşaması olarak tehlikelidir.

Detection

  • Host telemetry: bir guest'ten anormal HGFS request hacmi ya da malformed HGFS paketleri; oversized ya da reddedilen HGFS operasyonları hakkındaki vmware.log / vmkernel warning'leriyle korele edin.
  • vmx worldlet instability: alışılmadık shared-folder / HGFS aktivitesinden kısa süre sonra vmx process'inde crash'ler, core dump'lar ya da assertion failure'lar.
  • Chain IOC relevance: CVE-2025-22224/22225/22226 vahşi doğada exploit edildi ("ESXicape"). HGFS over-read girişimlerini bir VMCI corruption girişimini besleyen potansiyel bir leak aşaması olarak ele alın — aynı VM'de HGFS anomalilerini takip eden vmx worldlet panic'lerini ya da VMCI device I/O anomalilerini arayın. CISA bunları KEV kataloğuna ekledi; ESXi'yi hedefleyen ransomware aktörleri zinciri kullandı.
  • Shared folder / HGFS kullanımda değilse, herhangi bir HGFS trafiği bile şüphelidir.

Mitigation

  • VMSA-2025-0004'e göre patch'leyin: ESXi 7.0 → ESXi70U3s-24585291; ESXi 8.0 → ESXi80U2d-24585300 ya da ESXi80U3d-24585383; Workstation → 17.6.3; Fusion → 13.6.3.
  • Hardening: transport'u tamamen kaldırmak için gerekmeyen yerlerde shared folder / HGFS'yi devre dışı bırakın. Kimin VM-admin düzeyinde erişim elde edebileceğini (saldırının precondition'ı) kısıtlayın.
  • Defense-in-depth: bir leak sessizce corruption aşamasına ilerlemesin diye vmx worldlet sandboxing'ini etkin ve izlenir tutun.

References