ALERTA 04/2025

[TLP:CLEAR]

 1.  Foi publicada a existência de uma vulnerabilidade de segurança do tipo Time-of-Check Time-of-Use nos produtos VMware que, sob certas condições, permite que um ator malicioso com privilégio administrativo local em uma máquina virtual consiga executar códigos como processo VMX da máquina virtual em execução no host. Essa vulnerabilidade é descrita na Common Vulnerabilities and Exposures (CVE), nos endereços abaixo relacionados:

• https://nvd.nist.gov/vuln/detail/CVE-2025-22224
• https://www.cve.org/CVERecord?id=CVE-2025-22224

2. As versões afetadas do produto são:

• VMware ESXi: versões 7.0 até ESXi70U3s-24585291, 8.0 até ESXi80U2d-24585300 e 8.0 até ESXi80U3d-24585383;
• VMware Workstation: versões17.x até 17.6.3;
• VMware Cloud Foundation: versões 5.x, 4.5.x;
• VMware Telco Cloud Platform: versões 5.x, 4.x, 3.x, 2.x; e
• VMware Telco Cloud Infrastructure: versões 3.x, 2.x.

3. A vulnerabilidade foi adicionada ao catálogo de vulnerabilidades exploradas da Cybersecurity & Infrastructure Security Agengy (CISA), com mais informações disponíveis em:

• https://www.cisa.gov/news-events/alerts/2025/03/04/cisa-adds-four-known-exploited-vulnerabilities-catalog

4. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições aderentes à Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) e demais entidades/instituições que identifiquem em seus inventários de ativos a utilização das soluções vulneráveis e apliquem, no mais curto prazo, as atualizações disponibilizadas pelo desenvolvedor, conforme link abaixo:

• https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25390

5. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em:

• https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm

6. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC):

• https://www.gov.br/ctir/pt-br/assuntos/perguntas-frequentes-decreto-10-748-2021/perguntas-frequentes-sobre-o-decreto-10-748-2021

7. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):

• https://www.gov.br/ctir/pt-br/assuntos/tlp

Equipe CTIR Gov.

[TLP:CLEAR]