CVE-2025-22224

CRITICAL9.3Publicada el 4 de marzo de 2025

VMware ESXi, and Workstation contain a TOCTOU (Time-of-Check Time-of-Use) vulnerability that leads to an out-of-bounds write. A malicious actor with local administrative privileges on a virtual machine may exploit this issue to execute code as the virtual machine's VMX process running on the host.

Explotada activamente

En el catálogo CISA de vulnerabilidades explotadas desde el 4 mar 2025
Las agencias federales de EE. UU. deben corregirla antes del 25 mar 2025 (BOD 22-01)
Atacada el mismo día de la divulgación
Utilizada en campañas de ransomware

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fuente: CISA KEV · 25 feb 2026 20 ene 2026 7 ene 2026 25 sept 2025 28 ago 2025 15 jul 2025

Puntuación CVSS9.3 / 10CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-367, CWE-367

Fabricantesvmware