VMSA-2025-0010: VMware ESXi ve vCenter Server'da Tespit Edilen Güvenlik Açıkları

Advisory ID: VMSA-2025-0010
CVSSv3 Range: 4.3-8.8
Issue Date: 20 Mayıs 2025
Updated On: 20 Mayıs 2025
- CVE-2025-41225, CVE-2025-41226, CVE-2025-41227, CVE-2025-41228
- Broadcom’un 20 Mayıs 2025 tarihinde yayımladığı güvenlik danışma belgesi VMSA-2025-0010, VMware ürünlerinde tespit edilen dört güvenlik açığını ele almaktadır. Bu açıklıklar, yetkili komut çalıştırma ve hizmet reddi (DoS) gibi riskler taşımaktadır. Etkilenen ürünler arasında VMware ESXi, vCenter Server, Workstation, Fusion, Cloud Foundation, Telco Cloud Platform ve Telco Cloud Infrastructure bulunmaktadır.

VMSA-2025-0010’da Etkilenen Ürünler

VMware ESXi
VMware vCenter Server
VMware Workstation Pro
VMware Fusion
VMware Cloud Foundation
VMware Telco Cloud Platform
VMware Telco Cloud Infrastructure

Giriş

ESXi, vCenter Server ve Workstation’daki birden fazla güvenlik açığı VMware’e özel olarak bildirildi. Etkilenen VMware ürünlerindeki bu güvenlik açıklarını gidermek için güncellemeler mevcuttur.

VMware vCenter Server Yetkili Komut Çalıştırma Zafiyeti (CVE-2025-41225)

vCenter Server, kimliği doğrulanmış bir komut yürütme güvenlik açığı içerir. VMware, bu sorunun önem derecesini maksimum 8,8 CVSSv3 temel puanı ile Önemli önem derecesi aralığında değerlendirmiştir.

Alarm oluşturma veya değiştirme ve komut dosyası eylemi çalıştırma ayrıcalıklarına sahip kötü niyetli bir aktör, vCenter Server üzerinde rastgele komutlar çalıştırmak için bu sorundan yararlanabilir.

CVE-2025-41225’i düzeltmek için aşağıdaki ‘Yanıt Matrisi’nin ‘Sabit Sürüm’ sütununda listelenen güncellemeleri etkilenen dağıtımlara uygulayın.

Konuk İşlemleri Hizmet Reddi Güvenlik Açığı (CVE-2025-41226)

ESXi, bir konuk işlemi gerçekleştirirken ortaya çıkan bir hizmet reddi güvenlik açığı içerir. VMware, bu sorunun önem derecesini maksimum 6,8 CVSSv3 temel puanı ile Orta önem derecesi aralığında değerlendirmiştir.

Bir VM’de konuk işlem ayrıcalıklarına sahip olan ve vCenter Server veya ESXi aracılığıyla kimliği zaten doğrulanmış olan kötü niyetli bir aktör, VMware Tools’un çalıştığı ve konuk işlemlerin etkin olduğu konuk VM’lerde hizmet reddi durumu oluşturmak için bu sorunu tetikleyebilir.

CVE-2025-41226’yı düzeltmek için aşağıdaki ‘Yanıt Matrisi’nin ‘Sabit Sürüm’ sütununda listelenen güncellemeleri etkilenen dağıtımlara uygulayın.

Hizmet Reddi Güvenlik Açığı (CVE-2025-41227)

Workstation, Fusion ve ESXi, belirli konuk seçenekleri nedeniyle bir hizmet reddi güvenlik açığı içerir. VMware, bu sorunun önem derecesini maksimum 5,5 CVSSv3 temel puanı ile Orta önem derecesi aralığında değerlendirmiştir.

Konuk işletim sisteminde yönetici olmayan ayrıcalıklara sahip kötü niyetli bir aktör, ana bilgisayar sürecinin belleğini tüketerek hizmet reddi durumuna yol açarak bu sorunu istismar edebilir.

CVE-2025-41227’yi düzeltmek için aşağıdaki ‘Yanıt Matrisi’nin ‘Sabit Sürüm’ sütununda listelenen güncellemeleri etkilenen dağıtımlara uygulayın.

VMware ESXi ve vCenter Server’da Reflected XSS Güvenlik Açığı (CVE-2025-41228)

VMware ESXi ve vCenter Server, kullanıcı giriş sayfalarında yetersiz girdi doğrulaması nedeniyle yansıtılmış (reflected) bir Cross-Site Scripting (XSS) güvenlik açığı içermektedir. Bu açık, saldırganların özel olarak hazırlanmış bağlantılar aracılığıyla kullanıcıların tarayıcılarında zararlı JavaScript kodları çalıştırmasına olanak tanır. VMware, bu sorunun önem derecesini maksimum 5,5 CVSSv3 temel puanı ile Orta önem derecesi aralığında değerlendirmiştir.

Ağ erişimi olan kötü niyetli bir aktör, belirli ESXi ana bilgisayar veya vCenter Server URL yollarındaki giriş sayfalarını hedef alarak bu güvenlik açığını istismar edebilir. Bu sayede kullanıcıların çerezlerini çalabilir veya onları zararlı web sitelerine yönlendirebilir.

CVE-2025-41228 güvenlik açığını gidermek için, etkilenen sistemlere Broadcom tarafından sağlanan güncellemeler uygulanmalıdır.

Response Matrix:

VMware Product	Version	Running On	CVE	CVSSv3	Severity	Fixed Version	Workarounds	Additional Documentation
vCenter Server	8.0	Any	CVE-2025-41225, CVE-2025-41228	8.8, 4.3	Important	8.0 U3e	None	None
vCenter Server	7.0	Any	CVE-2025-41225	8.8	Important	7.0 U3v	None	None
VMware ESXi	8.0	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	ESXi80U3se-24659227	None	None
VMware ESXi	7.0	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	ESXi70U3sv-24723868	None	None
VMware Cloud Foundation (vCenter)	5.x	Any	CVE-2025-41225, CVE-2025-41228	8.8, 4.3	Important	Async patch to 8.0 U3e	None	Async Patching Guide: KB88287
VMware Cloud Foundation (vCenter)	4.5.x	Any	CVE-2025-41225	8.8	Important	Async patch to 7.0 U3v	None	Async Patching Guide: KB88287
VMware Cloud Foundation (ESXi)	5.x	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	Async patch to ESXi80U3se-24659227	None	Async Patching Guide: KB88287
VMware Cloud Foundation (ESXi)	4.5.x	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	Async patch to ESXi70U3sv-24723868	None	Async Patching Guide: KB88287
VMware Telco Cloud Platform (ESXi)	5.x, 4.x, 3.x, 2.x	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	ESXi80U3se-24659227	None	None
VMware Telco Cloud Infrastructure (ESXi)	3.x	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	ESXi80U3se-24659227	None	None
VMware Telco Cloud Infrastructure (ESXi)	2.x	Any	CVE-2025-41226, CVE-2025-41227, CVE-2025-41228	6.8, 5.5, 4.3	Moderate	ESXi70U3sv-24723868	None	None
VMware Telco Cloud Platform (vCenter)	5.x, 4.x, 3.x, 2.x	Any	CVE-2025-41225, CVE-2025-41228	8.8, 4.3	Important	8.0 U3e	None	None
VMware Telco Cloud Infrastructure (vCenter)	3.x	Any	CVE-2025-41225	8.8	Important	8.0 U3e	None	None
VMware Telco Cloud Infrastructure (vCenter)	2.x	Any	CVE-2025-41225	8.8	Important	7.0 U3v	None	None
VMware Workstation	17.x	Any	CVE-2025-41227	5.5	Moderate	17.6.3	None	None
VMware Fusion	13.x	MacOS	CVE-2025-41227	5.5	Moderate	13.6.3	None	None