Theo đó, VMware đã vá các lỗ hổng do nhóm Kunlun Lab phát hiện trong cuộc thi hack Tianfu Cup 2021 của Trung Quốc. Các lỗ hổng này ảnh hưởng đến VMware ESXi, Workstation và Fusion.

Cụ thể, các lỗ hổng được VMware xử lý trong bản cập nhật được phát hành gần đây gồm:

• Lỗ hổng định danh CVE-2021-22040 là lỗ hổng use-after-free trong bộ điều khiển XHCI USB. Tin tặc với đặc quyền quản trị cục bộ trên máy ảo có thể khai thác lỗ hổng này để thực thi mã khi tiến trình VMX của máy ảo đang chạy trên máy chủ.
• Lỗ hổng định danh CVE-2021-22041 là lỗ hổng double-fetch trong bộ điều khiển UHCI USB. Nếu tin tặc có đặc quyền quản trị cục bộ trên máy ảo có thể khai thác lỗ hổng này để thực thi mã khi tiến trình VMX của máy ảo đang chạy trên máy chủ.
• Lỗ hổng định danh CVE-2021 là lỗ hổng truy cập trái phép do VMX có quyền truy cập vào vé ủy quyền settingsd. Theo đó, tin tặc với đặc quyền trong tiến trình VMX, có thể truy cập vào dịch vụ settingsd đang chạy với vai trò là người dùng có đặc quyền cao.
• Lỗ hổng cuối cùng định danh CVE-2021-22043 trong VMware ESXi. Tin tặc có quyền truy cập vào settingsd, có thể khai thác lỗ hổng này để nâng cao đặc quyền bằng cách viết các tệp tùy ý.

VMware cho biết: “Những lỗ hổng này được phát hiện trong Tianfu Cup, một cuộc thi của Trung Quốc mà VMware tham gia. Theo luật của Trung Quốc, những lỗ hổng này đã được báo cáo tới chính phủ khi được phát hiện".