شرکت VMware برای رفع چندین نقص امنیتی در نرم‌افزارهای Workstation و Fusion آپدیت منتشر کرد. مهم‌ترینِ این نقص‌ها موفقیت در اجرای کد را برای مهاجم Local ممکن می‌ساخت. این آسیب‌پذیری که با شناسه‌ی CVE-2023-20869 (امتیاز CVSS: 9.3) ردیابی می‌شود، یک آسیب‌پذیری Buffer overflow مبتنی بر پشته توصیف شده است که در عملکرد مربوط به اشتراک‌گذاری دستگاه‌های هاست بلوتوث با ماشین مجازی جای دارد.
به‌گفته‌ی این شرکت یک عامل مخرب با امتیازات مدیریتیِ Local روی ماشین مجازی می‌تواند از این مشکل برای اجرای کد هنگام اجرای فرایند VMX ماشین مجازی روی Host استفاده کند.
VMware همچنین یک آسیب‌پذیری Out-of-bounds read که روی همین قابلیت اثرگذار است را رفع نقص کرد (CVE-2023-20870، امتیاز CVSS: 7.1) که می‌تواند توسط مهاجمان Local با امتیازات مدیریتی برای خواندن اطلاعات حساس روی حافظه‌ی Hypervisor از یک ماشین مجازی مورد سوءاستفاده قرار گیرد.
هردوی این آسیب‌پذیری‌ها در سومین روز مسابقه‌ی هک Pwn2Own که ماه قبل در ونکوور برگزار شد، توسط محققان STAR Labs آشکار شدند که جایزه‌ی ۸۰ هزار دلاری برای آن‌ها به ارمغان آورد.
VMware دو نقص دیگر را نیز رفع کرد که شامل یک نقص ارتقای سطح دسترسی Local (CVE-2023-20871، امتیاز CVSS: 7.3) در Fusion و یک آسیب‌پذیری Out-of-bounds read/write در نمونه‌سازی دستگاه SCSI CD/DVD (CVE-2023-20872، امتیاز CVSS: 7.7) بودند.
درحالی که نقص اول می‌تواند به عامل مخرب دارای دسترسی خواندن/نوشتن امکان دسترسی به سیستم عامل Host و کسب دسترسی Root بدهد، نقص دوم می‌تواند منجر به اجرای کد دلخواه شود.
به‌گفته‌ی VMware، مهاجم مخرب با دسترسی به یک ماشین مجازی دارای درایو فیزیکی CD/DVD که جهت استفاده از کنترلر مجازی SCSI متصل و پیکربندی شده باشد، می‌تواند از این آسیب‌پذیری برای اجرای کد روی Hypervisor از ماشین مجازی استفاده کند.
این نقص‌ها در Workstation نسخه ۱۷.۰.۲ و Fusion نسخه ۱۳.۰.۲ رفع شده‌اند. VMware خاموش کردن پشتیبان بلوتوث روی ماشین مجازی را به‌عنوان راه‌حلی موقت برای CVE-2023-20869 و CVE-2023-870 توصیه کرده است. برای کاهش خطر CVE-2023-20872 نیز توصیه می‌شود دستگاه CD/DVD از ماشین مجازی خارج شود یا ماشین مجازی جهت عدم استفاده از کنترلر مجازی SCSI پیکربندی شود. این رویداد کمتر از یک هفته پس از آن است که این شرکت ارائه‌ی خدمات مجازی‌سازی یک نقص حیاتی Deserialization را در چندین نسخه از Aria Operations for Logs رفع کرد (CVE-2023-20864، امتیاز CVSS: 9.8).