Faille critique VMware Workstation et Fusion : comment protéger vos machines virtuelles

Sommaire9 sections

1. 1Qu'est-ce que la faille de sécurité VMware (CVE-2024-22267) et comment fonctionne-t-elle ?
2. Le mécanisme de l'évasion de machine virtuelle (VM Escape)
3. Focus sur le Use-After-Free (UAF) du contrôleur vGPU
4. 2Quelles sont les versions de VMware Workstation et Fusion affectées ?
5. Tableau comparatif détaillé des versions vulnérables et corrigées
6. 3Comment vérifier la version de votre hyperviseur sur vos postes de travail ?
7. Procédure de vérification sous Windows et Linux
8. Procédure de vérification sous macOS
9. 4Comment appliquer les correctifs via le portail Broadcom ?
10. La transition complexe vers le portail de support Broadcom
11. Guide pas à pas pour télécharger les mises à jour
12. 5Quelles sont les mesures de contournement en l'absence de mise à jour immédiate ?
13. Désactivation de l'accélération 3D et du contrôleur vGPU
14. Désactivation du partage Bluetooth et des dossiers partagés
15. 6Comment sécuriser globalement vos environnements virtualisés ?
16. Durcissement de la configuration des machines virtuelles (VM Hardening)
17. Limitation des privilèges d'exécution de l'hyperviseur
18. 7Conclusion : anticiper pour maintenir l'étanchéité de vos systèmes
19. 8Questions fréquentes
20. 9Sources

Qu'est-ce que la faille de sécurité VMware (CVE-2024-22267) et comment fonctionne-t-elle ?

La faille de sécurité VMware (CVE-2024-22267) est une vulnérabilité critique de type Use-After-Free située dans le contrôleur vGPU de VMware Workstation et Fusion. Elle permet à un administrateur de machine virtuelle d'exécuter du code arbitraire sur le système hôte physique, brisant ainsi l'isolation de la virtualisation.

La virtualisation locale repose sur un principe fondamental d'étanchéité absolue entre le système d'exploitation invité et la machine hôte. L'hyperviseur doit garantir qu'aucun processus exécuté au sein d'une machine virtuelle ne puisse franchir cette frontière logique. Cependant, la découverte de la vulnérabilité majeure référencée sous le code CVE-2024-22267 est venue ébranler cette certitude technique.

Cette faille critique affiche un score de gravité CVSSv3 de 9.3 sur 10, ce qui la classe parmi les menaces les plus sérieuses pour la sécurité des postes de travail. Elle réside dans le contrôleur graphique virtuel (vGPU) utilisé par les solutions de l'éditeur Broadcom. Un utilisateur malveillant disposant de privilèges d'administration locaux sur un système invité peut exploiter cette faiblesse pour exécuter du code arbitraire.

L'exécution de ce code ne se cantonne pas à l'environnement virtuel, mais s'effectue directement sur le système d'exploitation physique de l'ordinateur hôte. Ce scénario redouté permet de contourner l'intégralité des mécanismes de sécurité de l'hyperviseur. La maîtrise de cette expertise technique est indispensable pour comprendre la portée réelle de cette faille.

Le mécanisme de l'évasion de machine virtuelle (VM Escape)

L'évasion de machine virtuelle, ou VM escape, représente le Saint Graal pour les concepteurs de logiciels malveillants. En temps normal, l'hyperviseur segmente rigoureusement les accès à la mémoire vive et aux processeurs physiques. Les appels système émis par la machine virtuelle sont interceptés, traduits puis exécutés de manière sécurisée par l'hôte.

Lorsqu'une vulnérabilité d'évasion se déclare, cette traduction sécurisée est corrompue par l'attaquant. Ce dernier parvient à injecter des instructions qui échappent au contrôle de l'hyperviseur. Le code malveillant s'exécute alors avec les privilèges du processus de l'hyperviseur sur la machine physique d'accueil.

Si l'utilisateur physique exécute son logiciel de virtualisation avec des privilèges élevés, l'attaquant obtient immédiatement un accès complet au système hôte. Il peut alors lire, modifier ou supprimer des données sensibles stockées sur le disque dur physique. Cette rupture d'isolement compromet instantanément l'intégrité de l'ensemble du poste de travail.

Focus sur le Use-After-Free (UAF) du contrôleur vGPU

D'un point de vue purement technique, la faille CVE-2024-22267 est une vulnérabilité de type Use-After-Free (UAF). Ce défaut de gestion de la mémoire survient lorsqu'un programme continue d'utiliser un pointeur vers une adresse mémoire qui a déjà été libérée. L'absence de réinitialisation de ce pointeur crée une brèche exploitable.

Un attaquant peut manipuler les requêtes graphiques envoyées au contrôleur vGPU pour forcer la libération d'une zone mémoire spécifique. Il remplace ensuite le contenu de cette zone par ses propres instructions malveillantes. Lorsque l'hyperviseur tente d'accéder à nouveau à cette adresse, il exécute le code injecté au lieu des données légitimes attendues.

Le contrôleur vGPU est particulièrement exposé car il gère des flux de données complexes et rapides pour restituer l'affichage de la machine virtuelle. Les optimisations de performance nécessaires à l'accélération 3D se font parfois au détriment de contrôles de sécurité rigoureux. C'est cette faille de conception qui permet l'évasion de code.

Quelles sont les versions de VMware Workstation et Fusion affectées ?

L'avis de sécurité officiel publié par Broadcom sous la référence VMSA-2024-0010 liste précisément les logiciels touchés par cette vulnérabilité. Deux gammes majeures de produits de virtualisation de bureau partagent la même base de code défectueuse. Il s'agit des solutions destinées aux professionnels et aux développeurs sur différents systèmes d'exploitation.

La première gamme concernée est VMware Workstation Pro et Player, largement déployée sur les environnements Windows et Linux. La seconde gamme est VMware Fusion et Fusion Pro, conçue spécifiquement pour les utilisateurs de macOS. Toutes les versions antérieures aux correctifs publiés par l'éditeur doivent être considérées comme hautement vulnérables.

Pour sécuriser efficacement vos machines virtuelles, il est impératif d'identifier la version exacte de vos logiciels et de planifier leur mise à niveau. Les administrateurs système doivent porter une attention particulière aux postes de travail des développeurs et des testeurs, qui utilisent fréquemment ces outils de virtualisation locale au quotidien.

Tableau comparatif détaillé des versions vulnérables et corrigées

Le tableau ci-dessous répertorie les versions affectées par la faille CVE-2024-22267 ainsi que les versions cibles minimales contenant le correctif de sécurité. Utilisez ces données pour auditer votre parc informatique et valider la conformité de vos installations.

En plus de la faille principale, ces versions corrigées intègrent également des résolutions pour d'autres vulnérabilités connexes. Parmi elles, la faille CVE-2024-22269 (divulgation d'informations dans le vGPU) et la faille CVE-2024-22270 (lecture hors limites dans le contrôleur audio HDA) sont également neutralisées par ces mises à jour.

Comment vérifier la version de votre hyperviseur sur vos postes de travail ?

Avant d'entreprendre toute démarche de mise à jour, vous devez procéder à un inventaire précis des versions actives sur vos machines. Cette étape permet d'éviter des manipulations inutiles et de cibler prioritairement les postes les plus exposés. La méthode de vérification varie selon le système d'exploitation hôte utilisé.

Il est fréquent que plusieurs versions coexistent au sein d'une même organisation, notamment si les utilisateurs gèrent eux-mêmes leurs outils de travail. Un audit centralisé ou une vérification manuelle rigoureuse s'impose donc. Cette démarche s'inscrit dans une approche globale de gestion des risques numériques.

Si vous constatez des écarts de version ou si vous rencontrez des difficultés pour identifier vos licences, un technicien qualifié peut vous accompagner. Dans le cadre d'un dépannage informatique, il est possible de réaliser un diagnostic complet de la sécurité de vos postes de travail physiques et virtuels.

Procédure de vérification sous Windows et Linux

Sous Windows, la méthode la plus rapide consiste à ouvrir l'interface graphique de VMware Workstation. Cliquez sur le menu Aide (Help) situé dans la barre supérieure, puis sélectionnez l'option À propos de VMware Workstation (About VMware Workstation). Une fenêtre affiche alors le numéro de version précis et le numéro de build.

Pour les administrateurs système qui préfèrent automatiser cette recherche sur un parc de machines, il est possible d'interroger le registre Windows ou d'utiliser une commande PowerShell. Saisissez la commande suivante dans un terminal pour obtenir rapidement l'information :

Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -like '*VMware Workstation*'} | Select-Object Name, Version

Sous Linux, vous pouvez interroger directement le gestionnaire de paquets ou utiliser la ligne de commande dédiée fournie par l'application. Ouvrez un terminal et exécutez la commande suivante pour afficher la version installée :

vmware --version

Procédure de vérification sous macOS

Pour les utilisateurs de macOS exploitant VMware Fusion, la procédure est tout aussi simple et rapide. Lancez l'application depuis votre dossier Applications. Dans la barre des menus supérieure, cliquez sur le menu nommé VMware Fusion, puis sélectionnez l'option À propos de VMware Fusion.

Une boîte de dialogue s'ouvre au centre de votre écran, présentant le logo de l'application ainsi que la version exacte (par exemple, 13.5.1) et le numéro de build associé. Si ce numéro est inférieur à la version 13.5.2, votre système d'exploitation hôte est exposé à des risques d'évasion de code.

Si vous gerez un parc de Mac via un outil de gestion de terminaux (MDM), vous pouvez déployer un script pour remonter automatiquement cette information. Cela vous permettra de planifier le déploiement de la mise à jour de manière transparente pour vos collaborateurs.

Comment appliquer les correctifs via le portail Broadcom ?

L'acquisition de VMware par le groupe Broadcom a profondément modifié les modalités d'accès aux logiciels et aux correctifs de sécurité. L'ancien portail connu sous le nom de VMware Customer Connect a été définitivement mis hors service. Cette transition a complexifié les démarches pour de nombreux administrateurs informatiques.

Désormais, l'intégralité des téléchargements de mises à jour s'effectue via le portail de support unifié de Broadcom. Cette plateforme centralise l'ensemble des produits de l'écosystème, mais requiert la création d'un compte utilisateur spécifique et la migration préalable de vos profils de licence.

Pour les professionnels de la région, déléguer cette gestion administrative et technique à un prestataire externe est une solution efficace. Une formule d' infogérance d'entreprise permet de s'affranchir de ces contraintes et de garantir une application rapide des correctifs de sécurité.

La transition complexe vers le portail de support Broadcom

La migration vers la nouvelle plateforme de Broadcom a suscité de nombreuses interrogations au sein des services informatiques. Les anciens comptes VMware n'ont pas tous été transférés automatiquement, ce qui oblige parfois les utilisateurs à recréer un profil et à lier manuellement leurs contrats de support existants.

De plus, la structure du site de Broadcom est conçue pour les grandes entreprises, ce qui rend la navigation parfois ardue pour les responsables de TPE ou de PME. Les fichiers de mise à jour pour VMware Workstation et Fusion ne sont pas toujours directement visibles sans une recherche ciblée par code produit.

Il est important de noter que Broadcom a rendu gratuites certaines versions de Workstation et Fusion pour un usage personnel. Cependant, pour un usage commercial et professionnel en entreprise, l'acquisition de licences valides reste obligatoire pour accéder légalement aux canaux de support et aux correctifs associés.

Guide pas à pas pour télécharger les mises à jour

Pour récupérer les fichiers d'installation corrigés, suivez rigoureusement les étapes suivantes sur le portail officiel de Broadcom. Cette procédure vous permettra d'obtenir les versions sécurisées 17.5.2 pour Workstation et 13.5.2 pour Fusion :

1. Rendez-vous sur le portail de support officiel de Broadcom et connectez-vous à l'aide de vos identifiants professionnels.
2. Utilisez la barre de recherche principale en saisissant le nom exact de votre produit, à savoir VMware Workstation Pro ou VMware Fusion Pro.
3. Accédez à la section dédiée aux téléchargements (Downloads) et sélectionnez la branche de version correspondant à votre installation (17.x ou 13.x).
4. Repérez la version corrective minimale requise (17.5.2 pour Windows/Linux ou 13.5.2 pour macOS) et téléchargez le package d'installation complet.
5. Avant toute exécution, vérifiez l'empreinte de sécurité (SHA-256) du fichier téléchargé pour vous assurer qu'il n'a pas été altéré durant le transfert.

Une fois le fichier récupéré, fermez toutes les machines virtuelles en cours d'exécution et procédez à l'installation de la mise à jour. Un redémarrage du système d'exploitation hôte est fortement recommandé pour s'assurer que tous les pilotes de l'hyperviseur sont correctement rechargés en mémoire.

Quelles sont les mesures de contournement en l'absence de mise à jour immédiate ?

Dans certains contextes de production, l'application immédiate d'un correctif logiciel est impossible. Des contraintes de compatibilité applicative ou des cycles de validation internes rigides peuvent retarder la mise à niveau de l'hyperviseur. Dans ce cas précis, il est impératif de mettre en place des mesures de contournement temporaires.

Ces mesures ne corrigent pas la faille de sécurité elle-même, mais elles neutralisent les vecteurs d'attaque utilisés par les exploits connus. Elles visent à restreindre les fonctionnalités de l'hyperviseur pour empêcher un attaquant d'accéder aux composants vulnérables de la mémoire.

L'application de ces restrictions doit être documentée et suivie avec attention. Dès que les contraintes techniques sont levées, ces mesures temporaires doivent être retirées au profit de l'installation du correctif officiel de Broadcom, qui reste la seule solution pérenne.

Désactivation de l'accélération 3D et du contrôleur vGPU

Puisque la faille majeure CVE-2024-22267 réside dans le contrôleur vGPU, la désactivation de l'accélération graphique 3D constitue la mesure de contournement la plus efficace. En désactivant cette option, vous empêchez l'hyperviseur de charger en mémoire le code vulnérable lié au rendu tridimensionnel.

Pour appliquer cette restriction, vous devez modifier la configuration de chaque machine virtuelle. Vous pouvez le faire via l'interface graphique de VMware en décochant l'option d'accélération 3D dans les paramètres d'affichage. Alternativement, vous pouvez éditer directement le fichier de configuration .vmx de la machine virtuelle.

Ouvrez le fichier .vmx avec un éditeur de texte brut et ajoutez ou modifiez la ligne de configuration suivante pour désactiver l'accélération graphique :

mks.enable3d = "FALSE"

Cette modification peut entraîner une baisse des performances d'affichage pour certaines applications graphiques exigeantes au sein de la machine virtuelle. Cependant, elle offre une protection immédiate et robuste contre les tentatives d'évasion de code par ce vecteur.

Désactivation du partage Bluetooth et des dossiers partagés

Les autres failles corrigées par Broadcom, comme la CVE-2024-22269, exploitent également des composants d'intégration entre l'hôte et l'invité. Le contrôleur Bluetooth virtuel est un autre vecteur d'attaque identifié. Si vos machines virtuelles n'ont pas besoin de communiquer avec des périphériques Bluetooth physiques, désactivez ce composant.

De même, les dossiers partagés (Shared Folders) facilitent grandement le travail d'un attaquant ayant réussi à s'évader de la machine virtuelle. Ils lui offrent un chemin d'accès direct pour lire ou chiffrer les fichiers du système hôte. Il est recommandé de désactiver cette fonctionnalité et de privilégier des transferts de fichiers sécurisés via le réseau.

Pour désactiver le partage Bluetooth, éditez le fichier de configuration .vmx de votre machine virtuelle et insérez la directive suivante :

bluetooth.present = "FALSE"

Comment sécuriser globalement vos environnements virtualisés ?

La gestion de la virtualisation locale ne doit pas se limiter à une réaction face aux urgences de sécurité. Elle doit s'inscrire dans une démarche proactive de durcissement des configurations. Le concept de VM Hardening regroupe un ensemble de bonnes pratiques visant à réduire la surface d'attaque globale de vos machines virtuelles.

Par défaut, les hyperviseurs de bureau sont configurés pour offrir un maximum de confort d'utilisation, ce qui implique l'activation de nombreuses fonctionnalités d'intégration. En environnement professionnel, il est conseillé de désactiver toutes les options non indispensables à l'activité des collaborateurs.

Cette démarche de sécurisation approfondie demande du temps et des compétences pointues. Pour vous aider à concevoir et à valider vos architectures virtuelles, vous pouvez faire appel à notre équipe à travers notre page de présentation de notre à propos. Nous vous accompagnons dans la mise en œuvre de configurations conformes aux recommandations de l'ANSSI.

Durcissement de la configuration des machines virtuelles (VM Hardening)

Le durcissement d'une machine virtuelle consiste à restreindre les canaux de communication bidirectionnels avec le système hôte. Par exemple, le copier-coller (Clipboard) et le glisser-déposer (Drag and Drop) sont des fonctionnalités pratiques mais risquées. Un malware actif dans la VM peut intercepter le presse-papiers de l'hôte.

Pour désactiver ces fonctionnalités d'intégration de manière stricte, vous devez ajouter plusieurs lignes de configuration spécifiques dans le fichier .vmx de vos machines virtuelles. Ces directives bloquent les interactions non autorisées au niveau de l'hyperviseur :

isolation.tools.copy.disable = "TRUE"
isolation.tools.paste.disable = "TRUE"
isolation.tools.dnd.disable = "TRUE"

En appliquant ces paramètres, vous renforcez considérablement l'étanchéité de votre environnement virtuel. Même si un attaquant parvient à compromettre le système invité, ses capacités de rebond et d'interaction avec votre système d'exploitation principal seront fortement limitées.

Limitation des privilèges d'exécution de l'hyperviseur

Une autre règle fondamentale de la sécurité informatique est le principe du moindre privilège. Trop souvent, les utilisateurs lancent VMware Workstation ou Fusion avec des droits d'administrateur ou de root sur leur machine physique. Cette pratique augmente considérablement l'impact d'une éventuelle évasion de code.

Si l'hyperviseur s'exécute avec les droits d'un utilisateur standard, le code malveillant qui parviendrait à s'évader de la machine virtuelle serait lui aussi confiné dans les limites de ce compte utilisateur standard. Il ne pourrait pas modifier les fichiers système critiques ni installer de logiciels malveillants au niveau du noyau de l'hôte.

Veillez donc à ce que vos collaborateurs utilisent des comptes d'utilisateurs non privilégiés au quotidien pour leurs tâches courantes, y compris pour l'utilisation de leurs environnements de virtualisation. Cette simple mesure organisationnelle permet de diviser par dix l'impact d'une cyberattaque réussie.

Conclusion : anticiper pour maintenir l'étanchéité de vos systèmes

La découverte des vulnérabilités critiques comme la faille CVE-2024-22267 rappelle que la virtualisation n'est pas une barrière magique et inviolable. Elle repose sur des millions de lignes de code complexes qui, comme tout logiciel, peuvent comporter des failles de conception. La sécurité de votre entreprise dépend de votre réactivité à appliquer les correctifs officiels.

Ne laissez pas vos hyperviseurs de bureau sans surveillance. Prenez le temps d'auditer vos postes de travail, d'identifier les versions obsolètes de VMware Workstation et Fusion, et de planifier leur mise à jour vers les versions sécurisées 17.5.2 et 13.5.2. C'est la seule méthode éprouvée pour garantir l'étanchéité de vos environnements de travail.

La gestion de la sécurité informatique peut s'avérer complexe pour les dirigeants de TPE et PME. Si vous souhaitez bénéficier d'un accompagnement de proximité ou d'un conseil personnalisé pour sécuriser vos infrastructures en Lot-et-Garonne, n'hésitez pas à nous contacter pour échanger sur vos besoins opérationnels.

Questions fréquentes

Qu'est-ce que la faille CVE-2024-22267 ?

Il s'agit d'une vulnérabilité critique de type Use-After-Free (CVSS 9.3) affectant les hyperviseurs de bureau VMware Workstation et VMware Fusion. Elle permet à un attaquant disposant de privilèges d'administrateur dans une machine virtuelle d'exécuter du code arbitraire sur le système d'exploitation de l'ordinateur hôte.

Quels sont les logiciels de virtualisation concernés par cette vulnérabilité ?

Les logiciels concernés sont VMware Workstation Pro et Player (versions 17.0.x à 17.5.1 sous Windows et Linux) ainsi que VMware Fusion et Fusion Pro (versions 13.0.x à 13.5.1 sous macOS). Les correctifs sont disponibles dans les versions 17.5.2 et 13.5.2.

Comment puis-je protéger mes machines virtuelles et mon système hôte ?

La méthode la plus efficace consiste à télécharger et installer immédiatement les mises à jour de sécurité officielles (17.5.2 pour Workstation et 13.5.2 pour Fusion) disponibles sur le portail de support de Broadcom. En attendant, vous pouvez désactiver l'accélération graphique 3D dans les paramètres de vos machines virtuelles.

Quel est le risque réel pour une entreprise ?

Le risque majeur est l'évasion de machine virtuelle (VM Escape). Si une machine virtuelle utilisée par un collaborateur est infectée, un attaquant peut utiliser cette faille pour s'évader de la VM, prendre le contrôle du poste physique de l'utilisateur, accéder aux données locales et potentiellement s'infiltrer sur l'ensemble du réseau de l'entreprise.

Sources

• The Hacker News - Critical VMware Workstation and Fusion Flaw Lets VM Admins Execute Host Code