CVE-2025-41238
Vulnérabilité critique dans ESXi (VMware)
Description
VMware ESXi, Workstation, and Fusion contain a heap-overflow vulnerability in the PVSCSI (Paravirtualized SCSI) controller that leads to an out of-bounds write. A malicious actor with local administrative privileges on a virtual machine may exploit this issue to execute code as the virtual machine's VMX process running on the host. On ESXi, the exploitation is contained within the VMX sandbox and exploitable only with configurations that are unsupported. On Workstation and Fusion, this may lead to code execution on the machine where Workstation or Fusion is installed.
Gravité et risque d'exploitation
CVE-2025-41238 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.46 %, ce qui la place devant 38.6 % des CVE référencées.
Que faire ?
- Vérifiez si ESXi (versions 5.x, 4.x, 3.x, 2.x, <ESXi80U3f-24784735, <17.6.4, 3.x, 2.x, 8.0, <ESXi80U2e-24789317, 17.x, 13.x, 7.0, <13.6.4, 5.x, 4.5.x, <ESXi70U3w-24784741) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.