概要

VMXNET3 の TSO セグメンテーションルーチンは、割り当てサイズを 32 ビットの imul を用いて seg_count * per_seg_size として計算します。真の積が 2^32 を超えると結果がラップアラウンドし、アロケータは切り詰められた値を受け取ります。続くセグメンテーションループは割り当てサイズではなく seg_count によって駆動されるため、ラップアラウンドした積から算出されたサイズのバッファに対して、セグメントごとに per_seg_size バイトを書き込みます。

このコードパスに対する以前の修正 (CVE-2025-41236) では、MSS、per_seg_size、またはその合計が 9216 を超えるパケットを拒否する境界チェックが追加されました。これらのチェックは個々のディスクリプタフィールドを制約しますが、実際にラップアラウンドする値である積を制約することはありません。9216 の制限をはるかに下回るパラメータでも、依然としてオーバーフローに到達します。

完全な根本原因分析、注釈付き逆アセンブリ、ヒープジオメトリについてはこちらをご覧ください: cyberstan.co.uk/vmxnet3-tso-overflow。

影響

生の TX ディスクリプタを書き込むのに十分な権限を持つゲストユーザーは、ゲストが提供したパケットの内容を用いて、ホストの vmware-vmx プロセス内で大規模な範囲外書き込みを引き起こす可能性があります。この PoC では、書き込みは未マップメモリに到達するまで続き、ホストプロセスが SIGSEGV で終了し、VM が電源オフになります。

ベンダーはこの問題をハイパーバイザコンテキストでの任意コード実行を可能にするものと評価していますが、公開された PoC はメモリ安全性の違反のみを実証し、クラッシュで停止します。

影響を受ける製品

vmware-vmx の VMXNET3 バックエンドを共有するすべての VMware デスクトップハイパーバイザ製品: Workstation、Fusion、および Player。VMXNET3 はモダンなゲストのデフォルトアダプタです。正式な影響バージョンリストについては VMSA-2026-0007 を参照してください。

ビルドと実行

この PoC は ゲスト内 で動作する Linux カーネルモジュールです。カーネル内ドライバの TSO ロジックをバイパスして VMXNET3 の TX リングディスクリプタを直接書き込み、その後ドアベル MMIO レジスタを叩きます。

ホストの vmware-vmx プロセスがクラッシュし、ゲストは電源オフになります。VM 内の未保存の状態は失われると想定してください。再実行したい場合は、事前にスナップショットを取得してください。

開始する前に

ゲストには VMXNET3 アダプタが必要です。lspci | grep -i vmxnet で確認するか、.vmx ファイル内の ethernet0.virtualDev = "vmxnet3" を確認してください。このモジュールは NIC と直接通信するため、インターフェースが起動しており vmxnet3 ドライバにバインドされている必要があります。

モジュールパラメータ

warmup と freechunk は、オーバーフローが発生する前にホストヒープを整形します。クラッシュを再現するために必須ではありません。割り当てレイアウトを調査している場合を除き、ゼロのままにしてください。

推奨される手順

まずドライランで、ホストに触れることなく、モジュールがリングを見つけてパラメータを計算することを確認します:

期待される出力には、計算されたジオメトリと特定された TX リングが含まれます:

リングが見つからない場合、モジュールは TX ring not found をログに記録して中止します。これは通常、ドライバのレイアウトの違いを意味します。そのカーネルに合わせて find_tx_ring() の検索ヒューリスティックを調整する必要があります。

次に、必要に応じて非デフォルトのインターフェースで実際にトリガーします:

ゲストはホストプロセスとともに停止するため、最後のメッセージがディスクに到達しない可能性があります。それらをキャプチャするには、ジャーナルに頼るのではなくコンソールを監視してください:

ホスト側で VM の vmware.log を確認してクラッシュを確認します。vcpu-0 スレッド上のアロケータを通るバックトレースとともに PANIC: Unexpected signal: 11 が表示されます。

何も起こらない場合

• 修正済みのホスト。 26H1u1 以降ではパケットが拒否されます。モジュールは正常にログを記録し、VM は動作し続けます。
• 誤ったインターフェース。 ifname はブリッジやセカンダリ e1000 アダプタではなく、VMXNET3 デバイスを指定する必要があります。
• リングが小さすぎる。 TX リングがディスクリプタチェーンを保持できない場合、モジュールは need N entries but ring has M slots で中止します。

テスト済み環境

分析で参照されているシンボルオフセットはビルド 25219725 に固有のものです。脆弱なパターンはビルド間で同じですが、オフセットは異なります。

内容

修正

乗算は 64 ビットで実行し、結果がアロケータに到達する前に境界を設ける必要があります。オーバーフローはどちらかのオペランドではなく積の性質であるため、個々のディスクリプタフィールドを制限するだけでは不十分です。

開示タイムライン

使用

修正がリリースされた後、協調的開示の下で公開されています。所有しているか、テストを許可されているシステムに対してのみ実行してください。ホストのハイパーバイザプロセスをクラッシュさせるため、気にかけているものに対して実行しないでください。

著者

Stan S - cyberstan.co.uk · @0xCyberstan