Résumé

La routine de segmentation TSO de VMXNET3 calcule sa taille d'allocation comme seg_count * per_seg_size en utilisant un imul 32 bits. Lorsque le produit réel dépasse 2^32, le résultat déborde, et l'allocateur reçoit la valeur tronquée. La boucle de segmentation qui suit est pilotée par seg_count, et non par la taille d'allocation, de sorte qu'elle écrit per_seg_size octets par segment dans un tampon dimensionné à partir du produit après débordement.

Un correctif antérieur pour ce chemin de code (CVE-2025-41236) a ajouté des vérifications de limites rejetant les paquets où MSS, per_seg_size, ou leur somme dépassent 9216. Ces vérifications contraignent les champs individuels du descripteur mais jamais le produit, qui est la valeur qui déborde réellement. Des paramètres bien en dessous de la limite de 9216 atteignent toujours le débordement.

Analyse complète de la cause racine, désassemblage annoté et géométrie du tas : cyberstan.co.uk/vmxnet3-tso-overflow.

Impact

Un utilisateur invité disposant de privilèges suffisants pour écrire des descripteurs TX bruts peut provoquer une importante écriture hors limites dans le processus hôte vmware-vmx avec un contenu issu du paquet fourni par l'invité. Dans ce PoC, l'écriture se poursuit jusqu'à atteindre de la mémoire non mappée et le processus hôte meurt avec SIGSEGV, éteignant la VM.

L'éditeur a classé le problème comme permettant l'exécution de code arbitraire dans le contexte de l'hyperviseur ; le PoC publié ne démontre que la violation de sûreté mémoire et s'arrête au crash.

Produits affectés

Tous les produits hyperviseurs de bureau VMware partageant le backend VMXNET3 de vmware-vmx : Workstation, Fusion et Player. VMXNET3 est la carte par défaut pour les invités modernes. Voir VMSA-2026-0007 pour la liste faisant autorité des versions affectées.

Compilation et exécution

Le PoC est un module noyau Linux qui s'exécute à l'intérieur de l'invité. Il écrit directement les descripteurs de l'anneau TX VMXNET3, contournant la logique TSO du pilote en noyau, puis sonne le registre MMIO doorbell.

Le processus hôte vmware-vmx plantera et l'invité s'éteindra. Attendez-vous à perdre tout état non sauvegardé dans la VM, et prenez un instantané au préalable si vous souhaitez le réexécuter.

Avant de commencer

L'invité a besoin d'une carte VMXNET3. Vérifiez avec lspci | grep -i vmxnet ou confirmez ethernet0.virtualDev = "vmxnet3" dans le fichier .vmx. Le module communique directement avec la carte réseau, donc l'interface doit être active et liée au pilote vmxnet3.

Paramètres du module

warmup et freechunk façonnent le tas de l'hôte avant que le débordement ne se produise. Ils ne sont pas nécessaires pour reproduire le crash ; laissez-les à zéro sauf si vous étudiez la disposition des allocations.

Séquence suggérée

Commencez par une exécution à blanc pour confirmer que le module trouve l'anneau et calcule les paramètres, sans toucher à l'hôte :

La sortie attendue inclut la géométrie calculée et l'anneau TX localisé :

Si l'anneau n'est pas trouvé, le module journalise TX ring not found et abandonne. Cela signifie généralement une différence de disposition du pilote ; l'heuristique de recherche dans find_tx_ring() doit être ajustée pour ce noyau.

Puis déclenchez pour de vrai, sur une interface non par défaut si nécessaire :

L'invité meurt avec le processus hôte, donc les derniers messages peuvent ne pas atteindre le disque. Pour les capturer, surveillez la console plutôt que de vous fier au journal :

Confirmez le crash côté hôte dans le vmware.log de la VM, qui affichera un PANIC: Unexpected signal: 11 avec une trace d'appels passant par l'allocateur sur le thread vcpu-0.

Si rien ne se passe

• Hôte corrigé. Tout ce qui est en 26H1u1 ou ultérieur rejette le paquet. Le module journalisera normalement et la VM continuera de fonctionner.
• Mauvaise interface. ifname doit désigner le périphérique VMXNET3, pas un pont ni une carte e1000 secondaire.
• Anneau trop petit. Le module abandonne avec need N entries but ring has M slots si l'anneau TX ne peut pas contenir la chaîne de descripteurs.

Environnement testé

Les décalages de symboles référencés dans l'analyse sont spécifiques au build 25219725. Le motif vulnérable est le même d'un build à l'autre, mais les décalages différeront.

Contenu

Correctif

La multiplication doit être effectuée en 64 bits, avec le résultat borné avant d'atteindre l'allocateur. Plafonner les champs individuels du descripteur ne suffit pas, car le débordement est une propriété du produit et non de l'un ou l'autre des opérandes.

Chronologie de divulgation

Utilisation

Publié dans le cadre d'une divulgation coordonnée, après la sortie d'un correctif. Ne l'exécutez que contre des systèmes que vous possédez ou êtes autorisé à tester. Cela plantera le processus hyperviseur hôte, donc ne le pointez vers rien qui vous importe.

Auteur

Stan S - cyberstan.co.uk · @0xCyberstan