PoC Released for Critical VMware VMXNET3 Flaw Enabling Guest-to-Host Code Execution
2026/10/08 CyberSecurityNews — 0xCyberstan が公開したのは、VMware の仮想ネットワークアダプタ VMXNET3 に存在する、深刻な整数オーバーフローの脆弱性 CVE-2026-59346 に対する概念実証 (PoC) である。この脆弱性を悪用する攻撃者が、ゲスト仮想マシン内で管理者権限を持つ場合に、ホスト上でコードが実行される可能性がある。ただし、公開された PoC が実証しているのはホストプロセスのクラッシュであり、実際にコード実行を成功させる攻撃ではない。
Broadcom は、この脆弱性を CVSSv3 で 9.3 と評価しており、2026年9月3日にリリースされた VMware Workstation／Fusion 26H1u1 で修正しているが、回避策は提供されていない。同社のアドバイザリでは、Workstation／Fusion のバージョン 25H2／26H1 が影響を受けるとされている。
この脆弱性が存在するのは、ホストの VMware-VMX プロセス内にある TCP Segmentation Offload (TSO) の処理経路である。TSO は大きなネットワーク・パケットを小さなセグメントへ分割する機能である。この処理により、各セグメントが必要とするメモリ容量とセグメント数を掛け合わせ、必要なメモリの総量を計算する。
この計算には 32-Bit の乗算が使用されるが、その範囲を超えると、整数オーバーフローにより小さな値に戻ってしまう。その後に、この縮小された値を用いてホストがバッファを確保する。
その一方で、データをコピーするループは、オリジナルのセグメント数に基づいて実行される。その結果、ゲスト側が制御するパケットデータが、確保されたバッファの範囲外へ書き込まれる。
この問題は、以前に CVE-2025-41236 に対して修正されたコードの処理経路と同じ箇所に関係していると、研究者は指摘している。以前のチェックでは、個々のパケットフィールドの合計値を 9,216 以下に制限していたが、最終的な乗算結果は検証されていなかった。
VMware VMXNET3 の脆弱性に対する PoC を公開
そのため、これらの制限値を下回る入力でも整数オーバーフローを引き起こす可能性が残っていた。Cyber Security News は以前にも、VMware VMXNET3 の別の脆弱性を報じているが、それが今回の問題の背景となっている。
GitHub リポジトリで公開された PoC は、VMXNET3 アダプタを備えるゲスト仮想マシン内で Linux カーネルモジュールとして動作する。ゲスト・ドライバによる通常の TSO 処理を回避し、ネットワーク送信ディスクリプタを直接書き込んだ後、ホストに処理を要求する。この操作には、ゲスト内で十分な権限が必要であり、未認証のリモートネットワーク攻撃ではない。
この処理により発生するバッファの範囲外書き込みは、メモリにマッピングされていない領域に到達する。その結果、vmware-vmx がセグメンテーション違反によってクラッシュし、影響を受ける仮想マシンが停止する。
0xCyberstan の公開資料では、保存されていないゲストの状態が失われるという問題が、テストにより確認されたと指摘されている。また、Ubuntu ホスト上の VMware Workstation Pro 25.0.1 で、Alpine Linux ゲストを動作させたテスト環境についても説明されている。
9月9日に公開された Zero Day Initiative (ZDI) のアドバイザリでは、ハイパーバイザの実行コンテキストでの任意のコード実行を、この脆弱性が引き起こす可能性があることが確認されている。ZDI の CVSS 評価は 7.5 であり、Broadcom の 9.3 とは異なる。ただし、どちらの評価でも重要な点は変わらない。
前述のとおり、公開された PoC が実証したのは、メモリ破損／クラッシュであり、ゲストからホストへのコード実行の成功ではない。
管理者に求められるのは、ゲスト OS のアップデートによって問題が修正されると判断せずに、ホスト側のバージョンを確認し、26H1u1 以降のサポート対象リリースをインストールすることである。Broadcom の対応表でも、対策としてホスト製品のアップデートが指定されている。
背景情報として、Cyber Security News は Workstation／Fusion に関する最初の脆弱性公表についても報じている。今回の公開 PoC により、防御担当者は具体的な再現方法を利用できるようになった。ただし、このテストは影響を受ける仮想マシンのプロセスを意図的にクラッシュさせるため、許可された隔離環境でのみ実施する必要がある。
VMware 製仮想化ソフトウェアにおける深刻な欠陥 CVE-2026-59346 について解説する記事です。仮想ネットワーク機能での数値計算処理の不備に伴い、ホストプロセスの強制終了／ゲスト OS の意図しない停止／ハイパーバイザ環境における任意コードの実行といった不具合が生じる危険性があります。対象となる CVE は CVE-2026-59346／CVE-2025-41236 です。対象となる製品は VMware Workstation／VMware Fusion です。対応策としてホスト側製品の最新版への更新が求められます。
You must be logged in to post a comment.