CVE-2025-41244 PoC

VMware Aria Operations < 4.18.5 और VMware Tools - स्थानीय विशेषाधिकार वृद्धि (Local Privilege Escalation)

पृष्ठभूमि

कृपया भेद्यता की अधिक व्यापक और विस्तृत व्याख्या के लिए संदर्भों में सूचीबद्ध लेख पढ़ें।

संक्षेप में

VMware Tools के भीतर एक शेल स्क्रिप्ट जिसका नाम get-versions.sh है, सुनने वाले सॉकेट (listening sockets) वाली चल रही प्रक्रियाओं की पहचान करने के लिए एक व्यापक-मिलान वाले regex पैटर्न (\S) का उपयोग करती है। मेल खाने वाली प्रक्रियाओं पर, यह सेवा का चल रहा संस्करण प्राप्त करने के लिए संबंधित संस्करण फ्लैग (-v, --version, आदि) के साथ प्रक्रिया को निष्पादित करती है।

get-versions.sh से उद्धरण (पंक्तियाँ 18-26):

get_version() {
  PATTERN=$1
  VERSION_OPTION=$2
  for p in $space_separated_pids
  do
    COMMAND=$(get_command_line $p | grep -Eo "$PATTERN")
    [ ! -z "$COMMAND" ] && echo VERSIONSTART "$p" "$("${COMMAND%%[[:space:]]*}" $VERSION_OPTION 2>&1)" VERSIONEND
  done
}

get-versions.sh से उद्धरण (पंक्तियाँ 119-124):

get_version "/\S+/(httpd-prefork|httpd|httpd2-prefork)($|\s)" -v
get_version "/usr/(bin|sbin)/apache\S*" -v
get_version "/\S+/mysqld($|\s)" -V
get_version "\.?/\S*nginx($|\s)" -v
get_version "/\S+/srm/bin/vmware-dr($|\s)" --version
get_version "/\S+/dataserver($|\s)" -v

सिद्धांत

शीर्ष पंक्ति /\S+/httpd($|\s) उचित इंस्टॉलेशन पथ, जैसे /usr/bin/httpd, से मेल खाने के लिए डिज़ाइन की गई है। हालाँकि, यदि कोई अन-प्रिविलेज्ड उपयोगकर्ता /tmp/httpd में एक स्क्रिप्ट बनाता है, जो एक वैश्विक रूप से लिखने योग्य निर्देशिका है, और प्रक्रिया को चलाता है, जब तक उसके पास एक सुनने वाला सॉकेट (किसी भी इंटरफ़ेस पर - यहाँ तक कि localhost पर भी) है, तो इसे VMware Tools स्क्रिप्ट द्वारा उन्नत संदर्भ में निष्पादित किया जाएगा - जिससे स्थानीय विशेषाधिकार वृद्धि प्राप्त होगी। यह एक दुर्भावनापूर्ण उपयोगकर्ता को रिवर्स शेल चलाने, रूट उपयोगकर्ता बनाने, या अंततः कोई भी उन्नत कार्रवाई करने में सक्षम बना सकता है जो वे चुनते हैं।

प्रमाण की अवधारणा (Proof of Concept)

एक golang स्क्रिप्ट निष्पादित की जाती है जो एक सुनने वाला सॉकेट बनाती है। जब get-versions.sh स्क्रिप्ट /tmp/[SERVICE] के regex एक्सप्रेशन से मेल खाती है, तो यह स्क्रिप्ट को उन्नत संदर्भ में चलाएगी। जब स्क्रिप्ट उन्नत संदर्भ में चलाई जाती है, तो सुनने वाला सॉकेट बनाने के बजाय, यह एक मनमाना कमांड (जैसे, /bin/bash -i) निष्पादित करेगी, जिससे विशेषाधिकार वृद्धि प्राप्त होगी।

संदर्भ

https://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/