Производителят на софтуер за виртуализация VMware разпространи във вторник актуализация на сигурността за своя хипервайзор Fusion, за да отстрани уязвимост с висока степен на опасност, която позволява използването на експлойти за изпълнение на код.

Основната причина за проблема, проследен като CVE-2024-38811 (CVSS 8.8/10), е несигурна променлива на средата, отбелязва VMware в консултация. „VMware Fusion съдържа уязвимост в изпълнението на код поради използването на несигурна променлива на средата. VMware е оценила сериозността на този проблем в диапазона на сериозност „Важно“.“

Според VMware дефектът CVE-2024-38811 може да бъде използван за изпълнение на код в контекста на Fusion, което потенциално може да доведе до пълно компрометиране на системата.

„Злонамерен нападател със стандартни потребителски привилегии може да се възползва от тази уязвимост, за да изпълни код в контекста на приложението Fusion“, казва VMware.

Компанията признава на Николай Грималюк от RIPEDA Consulting, че е идентифицирал и докладвал за грешката.

Уязвимостта засяга версии 13.x на VMware Fusion и е отстранена във версия 13.6 на приложението.

Няма налични обходни пътища за уязвимостта и на потребителите се препоръчва да актуализират своите инстанции на Fusion възможно най-скоро, въпреки че VMware не споменава, че бъгът се използва в природата.

Последната версия на VMware Fusion се разпространява и с актуализация на OpenSSL версия 3.0.14, която беше пусната през юни с кръпки за три уязвимости, които могат да доведат до условия на отказ на услуга или могат да причинят това, че засегнатото приложение ще стане много бавно.