安全热点周报：超过 37,000 台 VMware ESXi 服务器正被积极利用

奇安信 CERT · 公众号 · · 2025-03-10 17:16

正文

请到「今天看啥」查看全文

1. Linux Kernel 未初始化资源漏洞(CVE-2024-50302) &Google Android 输入验证不当漏洞(CVE-2024-43093)

3月4日，谷歌已发布针对 Android 2025 年 3 月安全更新中的 43 个漏洞的补丁，其中包括两个在有针对性攻击中被利用的零日漏洞。

塞尔维亚当局利用 Linux 内核人机接口设备驱动程序中的一个零日漏洞（高危信息泄露安全漏洞CVE-2024-50302 ）来解锁被没收的设备。

据报道，该漏洞是 Android 零日漏洞链的一部分，由以色列数字取证公司 Cellebrite 开发，用于解锁被没收的设备。该漏洞链是国际特赦组织安全实验室于 2024 年中期在分析塞尔维亚当局解锁的设备上发现的日志时发现的，其中还包括上个月修补的 USB 视频类零日漏洞 (CVE-2024-53104)和 ALSA USB 声音驱动程序零日漏洞。

谷歌上周宣称，他们在一月份与 OEM 合作伙伴分享了针对这些漏洞的修复程序。他们在这些报告发布之前就意识到了这些漏洞和利用风险，并迅速为 Android 开发了修复程序。

本月修复的第二个零日漏洞(CVE-2024-43093)是一个 Android 框架权限提升漏洞，该漏洞允许本地攻击者通过利用文件路径过滤器绕过来访问由于不正确的 unicode 规范化而导致的敏感目录，而无需额外的执行权限或用户交互。

本月的 Android 安全更新还解决了 11 个漏洞，这些漏洞可能让攻击者在易受攻击的设备上进行远程代码执行。

Google 发布了两组安全补丁，分别为 2025-03-01 和 2025-03-05 安全补丁级别。后者包含第一批中的所有修复以及针对闭源第三方和内核子组件的补丁，可能不适用于所有 Android 设备。Google Pixel 设备会立即收到更新，而其他供应商通常需要更长的时间来测试和微调其硬件配置的安全补丁。

参考链接：

https://www.bleepingcomputer.com/news/security/google-fixes-android-zero-days-exploited-in-targeted-attacks/

2. VMware VMCI 堆溢出漏洞(CVE-2025-22224) &VMware 越界写入漏洞(CVE-2025-22225) &VMware HGFS 越界读取漏洞(CVE-2025-22226)

3月4日，超过 37,000 个暴露在互联网上的 VMware ESXi 实例容易受到 CVE-2025-22224 的攻击，这是一个严重的越界写入漏洞，目前已被广泛利用。

威胁监控平台 Shadowserver Foundation 报告了这一大规模曝光，该平台昨日报告的数字约为 41,500。如今，ShadowServer报告称仍有 37,000 台设备存在漏洞，这意味着昨天已有 4,500 台设备得到了修补。

CVE-2025-22224 是一个严重的 VCMI 堆溢出漏洞，它允许具有 VM 客户机管理权限的本地攻击者逃离沙盒并以 VMX 进程的形式在主机上执行代码。

上周星期二，博通向客户发出了有关该漏洞以及另外两个漏洞 CVE-2025-22225 和 CVE-2025-22226 的警告，并告知客户这三个漏洞均被用作零日漏洞进行攻击。这些漏洞是由微软威胁情报中心发现的，该中心在一段未公开的时间内观察到这些漏洞被利用为零日漏洞。此外，尚未分享有关攻击来源和目标的信息。

Shadowserver报告指出，大多数受影响实例位于中国（4400台），其次是法国（4100台）、美国（3800台）、德国（2800台）、伊朗（2800台）、巴西（2200台）。然而，由于VMware ESXi在企业IT环境中被广泛用于虚拟机管理，其影响具有全球性。

有关修复 CVE-2025-22224 的 ESXi 版本的更多信息，VMware 已发布关键安全公告 VMSA-2025-0004 并提供相应补丁，修复上述漏洞。强烈建议管理员尽快将受影响系统更新至厂商指定的安全版本或补丁级别。目前没有可行的临时缓解方案，只能通过更新并重启主机来彻底修复。

参考链接：

https://www.bleepingcomputer.com/news/security/over-37-000-vmware-esxi-servers-vulnerable-to-ongoing-attacks/

PART 0 3

安全事件

1.钓鱼攻击瞄准DeepSeek本地化部署场景，工信部漏洞平台发布预警

3月7日网络安全威胁和漏洞信息共享平台消息，工业和信息化部网络安全威胁和漏洞信息共享平台（CSTIS）监测发现，攻击者针对大语言模型DeepSeek本地化部署场景实施钓鱼攻击，传播恶意程序，危害严重。攻击者通过“DeepSeek本地部署”、“深度求索”等高频关键词搜索引擎投毒，构建仿冒网站等方式，诱导用户下载伪造的DeepSeek本地部署工具包（如“ds大模型安装助手”、“deepseek_install”），传播HackBrian RAT、Gh0st和FatalRAT等木马程序。一旦被植入木马，攻击者可进一步控制用户服务器，导致窃取敏感信息、破坏系统数据，甚至入侵内部网络等严重危害。建议相关单位及用户优先通过官方渠道下载部署DeepSeek，加强来源不明软件的识别与防范，谨慎下载未知来源的应用程序，并通过更新防病毒软件、实施全盘查杀等方式全面排查消除相关安全风险。