RCE und XSS Lücken in Broadcom ESXi und vCenter Server behoben

VMware hat ein wichtiges Sicherheitsupdate veröffentlicht, das mehrere Schwachstellen in VMware ESXi, vCenter Server, Workstation und Fusion adressiert. Unter der Advisory-ID VMSA-2025-0010 wurden insgesamt vier CVEs veröffentlicht, deren Schweregrade von moderat bis hoch reichen (CVSSv3 Scores zwischen 4.3 und 8.8).

Besonders kritisch ist eine authentifizierte Command-Execution-Schwachstelle im VMware vCenter Server (CVE-2025-41225, CVSS 8.8), die Angreifern mit entsprechenden Rechten ermöglicht, beliebige Befehle auf betroffenen Systemen auszuführen. Weitere Lücken betreffen Denial-of-Service-Attacken (CVE-2025-41226, CVE-2025-41227) sowie eine reflektierte Cross-Site-Scripting-Schwachstelle (CVE-2025-41228), welche das Abfangen von Cookies oder Umleiten auf bösartige Webseiten ermöglicht.

Betroffen sind neben ESXi und vCenter Server auch VMware Workstation, Fusion sowie VMware Cloud Foundation und Telco Cloud-Infrastrukturen. Da keine Workarounds verfügbar sind, empfiehlt VMware dringend, die bereitgestellten Updates umgehend einzuspielen. Genauere Informationen zu betroffenen Versionen und Updates sind im VMware Security Advisory VMSA-2025-0010 sowie in den dazugehörigen Release Notes zu finden.

Tags :

Related Posts

Kritische Lücke CVE-2025-22252 in FortiOs, FortiProxy und Fortiswichtmanager entdeckt

In FortiOS, FortiProxy und FortiSwitchManager wurde eine kritische Sicherheitslücke (CVE-2025-22252, CVSS 9.0) entdeckt: Bei TACACS+-Authentifizierung gegen einen externen TACACS+-Server mit ASCII-Authentifizierung kann ein Angreifer, der bereits über Anmeldedaten eines Administrator-Kontos verfügt, die Zugangskontrolle umgehen und sich als gültiger Admin anmelden. Betroffen sind FortiOS 7.6.0 (Upgrade auf ≥ 7.6.1 empfohlen), FortiOS 7.4.4–7.4.6 (Upgrade auf ≥ 7.4.7), FortiProxy 7.6.0–7.6.1 (Upgrade auf ≥ 7.6.2) und FortiSwitchManager 7.2.5 (Upgrade auf ≥ 7.2.6). Systeme, die PAP, MSCHAP oder CHAP verwenden, sind nicht betroffen. Als kurzfristige Abhilfe kann die TACACS+-Konfiguration so angepasst werden, dass ASCII-Authentifizierung deaktiviert oder auf ein sicheres Verfahren umgestellt wird. Fortinet dankt den Entdeckern Cam B. und Matheus Maia für die verantwortungsvolle Meldung.

Read More

Cisco warnt vor kritischer Schwachstelle in IOS XE Wireless‑Controllern (CVE‑2025‑20188)

Cisco hat am 7. Mai 2025 eine Security Advisory veröffentlicht, die eine kritische Schwachstelle (CVSS 10.0) im Out‑of‑Band AP Image‑Download‑Feature von IOS XE‑basierenden Wireless LAN Controllern beschreibt (Advisory ID cisco‑sa‑wlc‑file‑uplpd‑rHZG9UfC).

Read More

F5 patcht kritische Schwachstellen in BIG-IP und F5OS Produkten

Am 7. Mai 2025 veröffentlichte F5 die vierteljährliche Sicherheitsbenachrichtigung (Quarterly Security Notification, QSN) mit mehreren kritischen Schwachstellen in BIG-IP- und F5OS-Produkten. Betroffen sind unter anderem die Komponenten iControl REST, HTTP/2, SIP ALG und TMM. Einige dieser Schwachstellen ermöglichen es Angreifern, Denial-of-Service-Angriffe durchzuführen oder Schadcode auszuführen.

Read More