VMware waarschuwt voor een kritieke kwetsbaarheid die het mogelijk maakt voor een aanvaller om vanuit een virtual machine (VM) code op het onderliggende host-systeem uit te voeren. Het beveiligingslek bevindt zich in de XHCI USB-controller van VMware ESXi, VMware Workstation en VMware Fusion.

Om de aanval uit te voeren moet een aanvaller beheerdersrechten hebben in de virtual machine. Vervolgens is het mogelijk om code op de host uit te voeren als het VMX-proces van de VM dat op de host draait. In het geval van ESXi is misbruik volgens VMware niet mogelijk vanwege de VMX-sandbox, maar in het geval van Workstation en Fusion kan dit tot 'code execution' leiden.

De impact van het beveiligingslek, aangeduid als CVE-2024-22252, is op een schaal van 1 tot en met 10 beoordeeld met een 9.3. Vanwege de lagere impact op ESXi bedraagt de impactscore voor dit platform een 8.4. VMware heeft updates voor de kwetsbaarheid beschikbaar gemaakt. Een workaround is het verwijderen van de USB-controller uit virtual machines, hoewel VMware opmerkt dat dit op grote schaal onpraktisch is. Het beveiligingslek werd door verschillende onderzoekers aan VMware gerapporteerd.