Black Hat USA 2025 | Dark Corners: How a Failed Patch Left VMware ESXi VM Escapes Open for Two Years

這場 Black Hat 演講由 Light Year 安全實驗室的 Yuho 與 Zumin 共同呈現，主題圍繞一個「補丁失效兩年」的真實案例。故事起點是 2021 年由 Qilin 實驗室發現、並在 Tianfu Cup 2021 披露的 CVE-2021-22053，一個位於 VMware ESXi xHCI USB 控制器中的 Use-After-Free 漏洞。漏洞的核心在於 `xci_clear_string_context` 函式與插槽上下文重寫的執行順序：在舊版本中，攻擊者可先修改插槽上下文，再觸發 `xci_clear_string_context`，導致管線（pipe）不被取消，URB 殘留但字串上下文已被釋放，後續手動清除管線時即觸發 UAF，對已釋放的字串上下文執行減法寫入。

VMware 在 2021 年的補丁僅重排了函式執行順序，但研究者在 2023 年備賽 Tianfu Cup 時重新審視這個補丁，發現它根本沒有真正阻斷攻擊路徑。由於補丁引入了一條新的取管線路徑，攻擊者只需改變插槽成員的狀態，讓新路徑同樣失敗；更關鍵的是，即便不靠新路徑，只要先修改插槽上下文清除特定端點的字串上下文，再執行 disable slot 命令清除所有端點，UAF 依然可被觸發。換言之，CVE-2021-22053 在 2021 至 2024 年間始終可被利用，直到 2023 年回報後才在 2024 年獲得新 CVE 編號 CVE-2024-22252。

在漏洞利用設計上，這個 UAF 極為受限：僅能對已釋放堆塊偏移量 +0x205C 做四位元組減法。研究者以創意解決此難題：xHCI 字串上下文哈希表的每個元素恰好是 8 位元組指標加 4 位元組 ID，共 12 位元組，使得第二個元素的低四位元組落在 +0xC 偏移處，完美對應 UAF 操作目標。透過先分配 GMR（大小 0x2050），再在 GMR 後緊接分配 URB，UAF 操作就會修改 URB 的 `actual_length` 欄位，實現越界讀取洩漏堆地址；接著利用哈希表佔位偽造字串上下文指標，結合堆疊重疊能力，最終透過偽造 VUSB device 物件中的函式指標完成控制流劫持，配合堆疊遷移 gadget 與 ROP 執行任意 shellcode，完成 VM 逃逸。

沙箱逃逸部分由 Zumin 講解。VM 逃逸後 VMX 進程仍受 ESXi 安全域（security domain）約束，無法直接操作宿主系統。ESXi 以 evaluation mask 控制每個域可使用的系統調用類別，轉換至其他域則需特權域授權或二進位檔具備特定安全屬性。研究者觀察到 VMX 進程對 CBT（Change Block Tracking）裝置擁有讀寫權限，CBT 驅動的位圖更新函式以使用者輸入的偏移量和 count 執行寫入，且邊界檢查基於欄位初始大小而非當前大小。攻擊者先向磁碟欄位寫入更多資料擴大欄位，但位圖大小不隨之更新，即可觸發 OOB Write。利用 whim 內核的超空間（semi-space）記憶體管理特性，透過覆蓋受害者位圖物件的 bitmap pointer 欄位（先清零再任意設置），實現核心任意讀寫 primitive，最終修改系統調用掩碼表，關閉沙箱限制，取得宿主機 root 完整控制權。演講末尾的 Demo 影片中，研究者從 Windows 客戶機執行漏洞利用程式，最終以 root 權限 SSH 登入 ESXi 宿主機。