Kerngegevens
- Leverancier
- VMware (Broadcom)
- Producten
- VCF Operations
- VMware Tools
- VMware Aria Operations
- VMware Cloud Foundation
- VMware Telco Cloud Platform
- VMware Telco Cloud Infrastructure
- Soort software
- virtualisatie
- Getroffen versies
- VMware Tools (ook open-vm-tools) 13.x.x.x tot 13.0.5.0, 12.5.x tot 12.5.4
- VMware Aria Operations 8.18.x tot 8.18.5
- VCF Operations 9.0.x tot 9.0.1.0
- VMware Cloud Foundation en Telco Cloud via de meegeleverde Aria Operations, tot 8.18.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- VMware Tools 13.0.5.0
- VMware Tools 12.5.4
- VMware Aria Operations 8.18.5
- VCF Operations 9.0.1.0
- CVE gepubliceerd
- 29 september 2025
- Op de KEV-lijst sinds
- 30 oktober 2025
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In VMware Tools en VMware Aria Operations zit een fout waarmee een lokale gebruiker zonder beheerrechten zichzelf root-rechten kan geven op dezelfde virtuele machine. Het lek staat sinds oktober 2025 op de lijst van actief misbruikte lekken van de Amerikaanse overheidsdienst CISA. Er is ook een publieke exploit beschikbaar.
Wie loopt risico?
Je loopt risico als je virtuele machines hebt met VMware Tools of open-vm-tools in een getroffen versie. Het risico is het grootst als die VM's worden beheerd door Aria Operations of VCF Operations met SDMP ingeschakeld. Een aanvaller heeft eerst al lokale toegang nodig tot zo'n VM, met een gewoon account. Het lek is dus vooral van belang als een aanvaller al binnen is.
Wat moet je doen?
Ga na of je getroffen bent
Controleer welke VM's VMware Tools hebben en of Aria Operations (of VCF Operations) ze beheert met SDMP ingeschakeld. Vergelijk de gevonden versies met de getroffen versies in dit bericht.
Werk VMware Tools bij
Installeer VMware Tools 13.0.5.0 of, bij de 12.5-reeks, versie 12.5.4. Dit zijn de versies die de leverancier als opgelost noemt.
Werk Aria Operations bij
Werk VMware Aria Operations bij naar 8.18.5. Gebruik je VCF Operations 9.0, ga dan naar 9.0.1.0. Voor VMware Cloud Foundation en de Telco Cloud-producten noemt de leverancier ook 8.18.5.
Beperk lokale toegang
Zolang je nog niet hebt bijgewerkt, geef je alleen de noodzakelijke gebruikers een account op de betrokken VM's. Controleer ook of er verdachte activiteit is geweest.
Volg het advies van de leverancier
Lees het beveiligingsadvies van Broadcom (VMSA-2025-0015) voor alle details en voor de maatregelen die gelden voor jouw productversie.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een lokale rechtenverhoging in de combinatie van VMware Tools en VMware Aria Operations met SDMP ingeschakeld. De CISA-lijst noemt het 'Privilege Defined with Unsafe Actions'. Een lokale aanvaller met beperkte rechten kan op dezelfde VM root worden. De CVSS 3.1-vector (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) geeft een score van 7,8 en laat zien dat de aanval weinig complexiteit vraagt en geen gebruikersinteractie nodig heeft. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. De score komt van de CNA. Er is een publieke exploit.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-267 · Rechten die onveilige acties toestaan
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 8,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 30 oktober 2025
- Deadline van CISA
- 20 november 2025
- Gebruikt door ransomwaregroepen
- Niet bekend