vmware 已发布安全补丁，针对其多个产品中的沙箱逃逸漏洞进行了修复。这些漏洞存在于 vmware esxi、workstation、fusion 以及 cloud foundation 中，潜在威胁在于攻击者可能突破虚拟机限制，进而访问主机操作系统。此次发布的公告提到了四个漏洞，分别被标记为 cve-2024-22252、cve-2024-22253、cve-2024-22254 和 cve-2024-22255，其 cvss v3 分值范围从 7.1 至 9.3，均被评为“关键”级别。此类漏洞的危害性极高，一旦被成功利用，攻击者便能在未获授权的情况下操控主机系统，甚至干扰同一主机上的其他虚拟机。

CVE-2024-22252 和 CVE-2024-22253：

分别涉及 XHCI 和 UHCI USB 控制器中的 Use-after-free 漏洞，影响范围涵盖 Workstation/Fusion 和 ESXi 平台。要利用这些漏洞，攻击者需先获得虚拟机的本地管理权限。在 Workstation 和 Fusion 环境下，攻击者能够通过虚拟机的 VMX 进程执行任意代码。

CVE-2024-22254：

属于 ESXi 中的一个 Out-of-bounds 漏洞，持有 VMX 进程权限的攻击者可向指定内存边界外写入数据，从而引发沙箱逃逸风险。

协同养育操作系统

协同养育操作系统（Co-Parenting OS）— 离异家庭专业协同养育支持系统。12模块覆盖接送管理、成长记忆库、孩子观察站、亲子关系粘合剂、共同挑战中心、情绪冲突观察、父母成长、成长档案馆、成长阶段引擎、风险预警、驾驶舱、被恶意攻击急救包。当用户涉及离异家庭育儿、协同养育、抚养探视、接送安排、孩子成长记录、亲子关系、离异冲突、被恶意攻击、前任矛盾等话题时触发。

下载

CVE-2024-22255：

是 UHCI USB 控制器中的信息泄露问题，同样影响 ESXi、Workstation 和 Fusion。

下表总结了受影响的产品版本及其对应的修复版本：

根据系统之家的报道，针对 CVE-2024-22252、CVE-2024-22253 和 CVE-2024-22255 的临时解决方案建议用户按照供应商提供的指南从虚拟机中移除 USB 控制器。然而，这一措施可能会对部分配置下的键盘、鼠标及 USB 设备的正常使用造成影响。