Vulnérabilités VMware activement exploitées (KEV)

CVE-2025-22226 — VMware, ESXi, Workstation et Fusion : divulgation d'informations

• Produit : VMware ESXi, Workstation, and Fusion
• Ajoutée au catalogue : 4 mars 2025
• Échéance CISA : 25 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-125
• Gravité : CVSS 6,0 (moyenne)
• Probabilité d’exploitation (EPSS) : 2 %
• Technologie : VMware ESXi / vCenter

VMware ESXi, Workstation et Fusion contiennent une vulnérabilité de divulgation d'informations due à une lecture hors limites dans HGFS. Une exploitation réussie permet à un attaquant disposant de privilèges administratifs sur une machine virtuelle de divulguer la mémoire du processus vmx.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

CVE-2025-22225 — VMware ESXi : vulnérabilité d'écriture arbitraire

• Produit : VMware ESXi
• Ajoutée au catalogue : 4 mars 2025
• Échéance CISA : 25 mars 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-123
• Gravité : CVSS 8,2 (élevée)
• Probabilité d’exploitation (EPSS) : 1 %
• Technologie : VMware ESXi / vCenter

VMware ESXi contient une vulnérabilité d'écriture arbitraire. Une exploitation réussie permet à un attaquant disposant de privilèges au sein du processus VMX de déclencher une écriture noyau arbitraire, entraînant une échappée du sandbox.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

CVE-2025-22224 — VMware ESXi et Workstation : vulnérabilité de condition de concurrence TOCTOU

• Produit : VMware ESXi and Workstation
• Ajoutée au catalogue : 4 mars 2025
• Échéance CISA : 25 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-367
• Gravité : CVSS 8,2 (élevée)
• Probabilité d’exploitation (EPSS) : 2 %
• Technologie : VMware ESXi / vCenter

VMware ESXi et Workstation contiennent une vulnérabilité de condition de concurrence (TOCTOU) qui conduit à une écriture hors limites. Une exploitation réussie permet à un attaquant disposant de privilèges administratifs locaux sur une machine virtuelle d'exécuter du code en tant que processus VMX de la machine virtuelle s'exécutant sur l'hôte.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

CVE-2024-38813 — VMware vCenter Server : vulnérabilité d'élévation de privilèges Critique

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 20 novembre 2024
• Échéance CISA : 11 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-250, CWE-273
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 17 %
• Technologie : VMware ESXi / vCenter

Vmware vcenter contient une vulnérabilité de vérification incorrecte des privilèges abandonnés. cette vulnérabilité pourrait permettre à un attaquant ayant un accès réseau au vcenter server d'élever les privilèges à root en envoyant un paquet spécialement conçu.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-38812 — VMware vCenter Server : dépassement de tampon dans le tas Critique

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 20 novembre 2024
• Échéance CISA : 11 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-122
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 55 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server contient une vulnérabilité de dépassement de tampon dans le tas dans l'implémentation du protocole DCERPC. Cette vulnérabilité pourrait permettre à un attaquant ayant un accès réseau au vCenter Server d'exécuter du code à distance en envoyant un paquet spécialement conçu.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-37085 — VMware ESXi : contournement de l'authentification

• Produit : VMware ESXi
• Ajoutée au catalogue : 30 juillet 2024
• Échéance CISA : 20 août 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-305
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 27 %
• Technologie : VMware ESXi / vCenter

VMware ESXi contient une vulnérabilité de contournement de l'authentification. Un acteur malveillant disposant de permissions Active Directory (AD) suffisantes peut obtenir un accès complet à un hôte ESXi qui avait été configuré pour utiliser AD pour la gestion des utilisateurs en recréant le groupe AD configuré ('ESXi Admins' par défaut) après qu'il ait été supprimé de AD.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

CVE-2022-22948 — VMware vCenter Server : vulnérabilité de permissions de fichiers par défaut incorrectes

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 17 juillet 2024
• Échéance CISA : 7 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-276
• Gravité : CVSS 6,5 (moyenne)
• Probabilité d’exploitation (EPSS) : 13 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server contient une vulnérabilité de permissions de fichiers par défaut incorrectes qui permet à un attaquant distant et privilégié d'accéder à des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · vmware.com

CVE-2023-34048 — VMware vCenter Server : vulnérabilité d'écriture hors limites

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 22 janvier 2024
• Échéance CISA : 12 février 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-787
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server contient une vulnérabilité d'écriture hors limites dans l'implémentation du protocole DCERPC qui permet à un attaquant d'effectuer une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · vmware.com

CVE-2023-20867 — VMware Tools : contournement de l'authentification

• Produit : VMware Tools
• Ajoutée au catalogue : 23 juin 2023
• Échéance CISA : 14 juillet 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 3,9 (faible)
• Probabilité d’exploitation (EPSS) : 14 %

VMware Tools contient une vulnérabilité de contournement de l'authentification dans le module vgauth. Un hôte ESXi entièrement compromis peut forcer VMware Tools à échouer à authentifier les opérations hôte-invité, impactant la confidentialité et l'intégrité de la machine virtuelle invitée. Un attaquant doit disposer d'un accès root sur ESXi pour exploiter cette vulnérabilité.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · vmware.com

CVE-2023-20887 — VMware Aria Operations for Networks : vulnérabilité d'injection de commandes

• Produit : VMware Aria Operations for Networks
• Ajoutée au catalogue : 22 juin 2023
• Échéance CISA : 13 juillet 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

VMware Aria Operations for Networks (anciennement vRealize Network Insight) contient une vulnérabilité d'injection de commandes qui permet à un acteur malveillant ayant un accès réseau d'exécuter une attaque entraînant une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · vmware.com

CVE-2022-22947 — VMware Spring Cloud Gateway : vulnérabilité d'injection de code

• Produit : VMware Spring Cloud Gateway
• Ajoutée au catalogue : 16 mai 2022
• Échéance CISA : 6 juin 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Les applications Spring Cloud Gateway sont vulnérables à une attaque par injection de code lorsque le point de terminaison Gateway Actuator est activé, exposé et non sécurisé.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2022-22960 — VMware, plusieurs produits : vulnérabilité d'élévation de privilèges

• Produit : VMware Multiple Products
• Ajoutée au catalogue : 15 avril 2022
• Échéance CISA : 6 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-250
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 36 %

VMware Workspace ONE Access, Identity Manager et vRealize Automation contiennent une vulnérabilité d'élévation de privilèges due à des permissions incorrectes dans les scripts de support.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2022-22954 — VMware Workspace ONE Access and Identity Manager : vulnérabilité d'injection de modèle côté serveur Critique

• Produit : VMware Workspace ONE Access and Identity Manager
• Ajoutée au catalogue : 14 avril 2022
• Échéance CISA : 5 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

VMware Workspace ONE Access and Identity Manager permet une exécution de code à distance en raison d'une injection de modèle côté serveur.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2022-22965 — Spring Framework JDK 9+ Remote Code Execution Vulnerability

• Produit : VMware Spring Framework
• Ajoutée au catalogue : 4 avril 2022
• Échéance CISA : 25 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Java

Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding.

Action requise : Apply updates per vendor instructions.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA

CVE-2018-6961 — VMware SD-WAN Edge par VeloCloud : vulnérabilité d'injection de commandes

• Produit : VMware SD-WAN Edge
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 85 %

VMware SD-WAN Edge par VeloCloud contient une vulnérabilité d'injection de commandes dans le composant d'interface web locale. L'exploitation réussie de ce problème pourrait entraîner une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-21973 — VMware, vCenter Server et Cloud Foundation : vulnérabilité de falsification de requêtes côté serveur (SSRF)

• Produit : VMware vCenter Server and Cloud Foundation
• Ajoutée au catalogue : 7 mars 2022
• Échéance CISA : 21 mars 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20, CWE-918
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 88 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server et Cloud Foundation Server contiennent une vulnérabilité SSRF due à une validation incorrecte des URL dans un plugin de vCenter Server. Ceci permet une divulgation d'informations.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-21975 — VMware, vRealize Operations Manager API : falsification de requêtes côté serveur

• Produit : VMware vRealize Operations Manager API
• Ajoutée au catalogue : 18 janvier 2022
• Échéance CISA : 1 février 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-918
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 78 %

La falsification de requêtes côté serveur (ssrf) dans l'api de vrealize operations manager antérieure à la version 8.4 peut permettre à un acteur malveillant ayant un accès réseau à l'api de vrealize operations manager d'effectuer une attaque ssrf pour voler des identifiants administratifs.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22017 — VMware vCenter Server : contrôle d'accès incorrect

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 10 janvier 2022
• Échéance CISA : 24 janvier 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-23
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 49 %
• Technologie : VMware ESXi / vCenter

Rhttproxy utilisé dans vCenter Server contient une vulnérabilité due à une implémentation incorrecte de la normalisation des URI.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22005 — VMware vCenter Server : vulnérabilité de téléversement de fichiers Critique

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-23
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server contient une vulnérabilité de téléversement de fichiers dans le service Analytics qui permet à un utilisateur ayant un accès réseau au port 443 d'exécuter du code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-21985 — VMware vCenter Server : validation incorrecte des entrées Critique

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20, CWE-470, CWE-918
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : VMware ESXi / vCenter

VMware vSphere Client contient une vulnérabilité de validation incorrecte des entrées dans le plug-in de vérification de santé Virtual SAN, qui est activé par défaut dans vCenter Server, ce qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-21972 — VMware vCenter Server : exécution de code à distance Critique

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-23
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server vSphere Client contient une vulnérabilité d'exécution de code à distance dans un plugin vCenter Server qui permet à un attaquant ayant un accès réseau au port 443 d'exécuter des commandes avec des privilèges illimités sur le système d'exploitation sous-jacent.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2020-4006 — VMware, plusieurs produits : injection de commandes

• Produit : VMware Multiple Products
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 17 %

VMware Workspace One Access, Access Connector, Identity Manager et Identity Manager Connector contiennent une vulnérabilité d'injection de commandes. Un attaquant ayant un accès réseau au configurateur administratif sur le port 8443 et un mot de passe valide pour le compte administrateur du configurateur peut exécuter des commandes avec des privilèges illimités sur le système d'exploitation sous-jacent.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-3992 — VMware ESXi : vulnérabilité use-after-free OpenSLP

• Produit : VMware ESXi
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-416
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 83 %
• Technologie : VMware ESXi / vCenter

VMware ESXi OpenSLP contient une vulnérabilité use-after-free qui permet à un attaquant résidant dans le réseau de gestion avec accès au port 427 d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-3952 — VMware vCenter Server : divulgation d'informations

• Produit : VMware vCenter Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 90 %
• Technologie : VMware ESXi / vCenter

VMware vCenter Server contient une vulnérabilité de divulgation d'informations dans le VMware Directory Service (vmdir) lorsque le Platform Services Controller (PSC) n'implémente pas correctement les contrôles d'accès. Une exploitation réussie permet à un attaquant ayant un accès réseau au port 389 d'extraire des informations sensibles.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-3950 — VMware, plusieurs produits : vulnérabilité d'élévation de privilèges

• Produit : VMware Multiple Products
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-269
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 7 %

VMware Fusion, Remote Console (VMRC) for Mac et Horizon Client for Mac contiennent une vulnérabilité d'élévation de privilèges due à une utilisation incorrecte de binaires setuid qui permet aux attaquants d'élever les privilèges à root.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-5544 — VMware ESXi et Horizon DaaS : dépassement de tampon dans le tas OpenSLP Critique

• Produit : VMware VMware ESXi and Horizon DaaS
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-787
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %
• Technologie : VMware ESXi / vCenter

VMware ESXi et Horizon Desktop as a Service (DaaS) OpenSLP contient une vulnérabilité de dépassement de tampon dans le tas OpenSLP qui permet à un attaquant ayant un accès réseau au port 427 d'écraser le tas du service OpenSLP pour effectuer une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →