Les bugs d’évasion de sandbox de VMware sont si critiques que des correctifs sont publiés pour des produits en fin de vie.

VMware encourage les clients à corriger les vulnérabilités critiques qui permettent aux pirates informatiques de contourner les protections de sandbox et d’hyperviseur dans toutes les versions, y compris celles qui ne sont plus prises en charge, des produits VMware ESXi, Workstation, Fusion et Cloud Foundation. Une constellation de quatre vulnérabilités – dont deux avec des notes de gravité de 9.3 sur 10 – est sérieuse car elles sapent le but fondamental des produits VMware, qui est d’exécuter des opérations sensibles à l’intérieur d’une machine virtuelle séparée de la machine hôte. Les responsables de VMware ont déclaré que la perspective d’une évasion d’hyperviseur justifiait une réponse immédiate selon la bibliothèque d’infrastructure informatique de l’entreprise, un processus généralement abrégé sous le nom d’ITIL. « En termes d’ITIL, cette situation qualifie un changement d’urgence, nécessitant une action prompte de la part de votre organisation », ont écrit les responsables dans un message. « Cependant, la réponse en matière de sécurité appropriée varie en fonction des circonstances spécifiques. » Parmi les circonstances spécifiques, l’une concerne le produit vulnérable utilisé par un client, et une autre est de savoir si et comment il peut être positionné derrière un pare-feu. Une note d’information de VMware incluait la matrice suivante montrant comment les vulnérabilités – suivies sous les identifiants CVE-2024-22252, CVE-2024-22253, CVE-2024-22254, CVE-2024-22255 – affectent chacun des produits vulnérables. Trois des vulnérabilités affectent le contrôleur USB utilisé par les produits pour prendre en charge les périphériques tels que les claviers et les souris. La note d’information décrit les vulnérabilités comme : [specific description would be added here in French].