In VMware Workstation und Fusion schließt der Hersteller teilweise kritische Zero-Day-Sicherheitslücken. Einige davon wurden auf der diesjährigen Pwn2Own-Konferenz vorgeführt. Sie ermöglichen etwa das Ausbrechen aus dem Gast-System, den unbefugten Zugriff auf Informationen von virtuellen Maschinen oder das Ausweiten der Rechte auf dem Host-System. Die als kritisch eingestufte Sicherheitslücke betrifft VMware Workstation und Fusion. Angreifer können den Fehler in der Funktion zum Teilen von Bluetooth-Geräten missbrauchen, wenn sie lokale Administratorrechte innerhalb einer virtuellen Maschine haben. Dadurch können sie beliebigen Code als VMX-Prozess der virtuellen Maschine auf dem Host ausführen (CVE-2023-20869, CVSS 9.3, Risiko „kritisch“). Die SCSI-CD/DVD-Emulation können Angreifer missbrauchen, um eigenen Code auf dem Hypervisor einer virtuellen Maschine auszuführen. Dazu muss jedoch ein physisches CD- oder DVD-Laufwerk angeschlossen und für die Nutzung eines virtuellen SCSI-Controllers konfiguriert sein (CVE-2023-20872, CVSS 7.7, hoch). In VMware Fusion können Angreifer ihre Rechte ausweiten, wenn sie Lese- und Schreibzugriffe auf das Host-Betriebssystem haben (CVE-2023-20871, CVSS 7.3, hoch). Eine weitere Lücke im Code zum Teilen von Bluetooth-Geräten ermöglicht Angreifern, unbefugt Informationen aus dem Hypervisor-Speicher einer virtuellen Maschine auszulesen (CVE-2023-20870, CVSS 7.1, hoch). Informationen, wie Angriffe auf die Schwachstellen konkret aussehen könnten, liefert VMware in der Sicherheitsmeldung nicht. Die Sicherheitslücken betreffen VMware Workstation sowohl unter Linux als auch unter Windows sowie VMware Fusion unter macOS. Das Unternehmen stellt die fehlerbereinigten Versionen VMware Workstation 17.0.2 sowie VMware Fusion 13.0.2 für Intel-CPUs sowie Apple Silicon zum Download auf der Webseite bereit. In einer Sicherheitsmeldung hat VMware Details zu den Lücken gebündelt. Darin verlinkt das Unternehmen auch auf weitere Informationen und mögliche temporäre Gegenmaßnahmen zu den einzelnen Schwachstellen. IT-Verantwortliche sollten jedoch die angebotene aktualisierte Software zügig herunterladen und installieren. Im Februar hatte der Hersteller bereits Schwachstellen in VMware Workstation abdichten müssen. Durch die hochriskante Lücke konnten Angreifer aus Gastsystemen heraus Dateien auf dem Host-System löschen.
