Краткое описание

Процедура сегментации TSO в VMXNET3 вычисляет размер выделяемой памяти как seg_count * per_seg_size, используя 32-битный imul. Когда истинное произведение превышает 2^32, результат переполняется, и аллокатор получает усечённое значение. Следующий за этим цикл сегментации управляется значением seg_count, а не размером выделенной памяти, поэтому он записывает per_seg_size байт на каждый сегмент в буфер, размер которого вычислен из переполненного произведения.

Более раннее исправление этого участка кода (CVE-2025-41236) добавило проверки границ, отклоняющие пакеты, в которых MSS, per_seg_size или их сумма превышают 9216. Эти проверки ограничивают отдельные поля дескриптора, но никогда — произведение, а именно оно и переполняется. Параметры, значительно меньшие лимита 9216, всё равно приводят к переполнению.

Полный анализ первопричины, аннотированный дизассемблер и геометрия кучи: cyberstan.co.uk/vmxnet3-tso-overflow.

Воздействие

Гостевой пользователь с достаточными привилегиями для записи сырых TX-дескрипторов может вызвать масштабную запись за границами буфера в хост-процессе vmware-vmx с содержимым, взятым из пакета, предоставленного гостем. В этом PoC запись продолжается до достижения неотображённой памяти, и хост-процесс завершается с SIGSEGV, выключая ВМ.

Вендор оценил уязвимость как допускающую выполнение произвольного кода в контексте гипервизора; опубликованный PoC демонстрирует только нарушение безопасности памяти и останавливается на сбое.

Затронутые продукты

Все настольные гипервизорные продукты VMware, использующие бэкенд VMXNET3 в vmware-vmx: Workstation, Fusion и Player. VMXNET3 — адаптер по умолчанию для современных гостевых систем. Авторитетный список затронутых версий см. в VMSA-2026-0007.

Сборка и запуск

PoC представляет собой модуль ядра Linux, работающий внутри гостевой системы. Он записывает TX-дескрипторы кольца VMXNET3 напрямую, обходя логику TSO драйвера в ядре, а затем подаёт сигнал через MMIO-регистр doorbell.

Хост-процесс vmware-vmx завершится сбоем, и гостевая система выключится. Ожидайте потери любых несохранённых данных в ВМ; сделайте снимок заранее, если хотите запустить это повторно.

Перед началом

Гостевой системе нужен адаптер VMXNET3. Проверьте с помощью lspci | grep -i vmxnet или убедитесь, что в файле .vmx указано ethernet0.virtualDev = "vmxnet3". Модуль обращается к сетевому адаптеру напрямую, поэтому интерфейс должен быть поднят и привязан к драйверу vmxnet3.

Параметры модуля

warmup и freechunk формируют кучу хоста перед тем, как сработает переполнение. Они не нужны для воспроизведения сбоя; оставьте их нулевыми, если только вы не исследуете размещение выделений памяти.

Рекомендуемая последовательность

Начните с пробного запуска, чтобы убедиться, что модуль находит кольцо и вычисляет параметры, не затрагивая хост:

Ожидаемый вывод включает вычисленную геометрию и найденное TX-кольцо:

Если кольцо не найдено, модуль записывает в лог TX ring not found и прерывается. Обычно это означает различие в раскладке драйвера; эвристику поиска в find_tx_ring() нужно скорректировать для этого ядра.

Затем запустите по-настоящему, при необходимости на нестандартном интерфейсе:

Гостевая система погибает вместе с хост-процессом, поэтому последние сообщения могут не дойти до диска. Чтобы их зафиксировать, следите за консолью, а не полагайтесь на журнал:

Подтвердите сбой со стороны хоста в файле vmware.log данной ВМ, где будет показано PANIC: Unexpected signal: 11 с обратной трассировкой через аллокатор в потоке vcpu-0.

Если ничего не происходит

• Исправленный хост. Любая версия 26H1u1 или более поздняя отклоняет пакет. Модуль будет логировать нормально, а ВМ продолжит работу.
• Неверный интерфейс. ifname должен указывать на устройство VMXNET3, а не на мост или вторичный адаптер e1000.
• Кольцо слишком мало. Модуль прерывается с need N entries but ring has M slots, если TX-кольцо не может вместить цепочку дескрипторов.

Тестовая среда

Смещения символов, упомянутые в анализе, специфичны для сборки 25219725. Уязвимый шаблон одинаков во всех сборках, но смещения будут различаться.

Содержимое

Исправление

Умножение необходимо выполнять в 64 битах, а результат должен быть ограничен до того, как он попадёт в аллокатор. Ограничения отдельных полей дескриптора недостаточно, поскольку переполнение является свойством произведения, а не какого-либо из операндов.

Хронология раскрытия

Использование

Опубликовано в рамках скоординированного раскрытия, после выпуска исправления. Запускайте только против систем, которыми вы владеете или которые вам разрешено тестировать. Это приведёт к сбою хост-процесса гипервизора, поэтому не направляйте его на что-либо, что вам дорого.

Автор

Stan S - cyberstan.co.uk · @0xCyberstan