Broadcom (propriétaire de VMware) a publié l’avis de sécurité VMSA-2025-0016 en date du 29 septembre 2025. Le bulletin identifie trois vulnérabilités affectant VMware vCenter Server et VMware NSX/NSX-T, évaluées avec une gravité “Importante” et un score CVSSv3 compris entre 7,5 et 8,5. La société a publié des mises à jour pour les produits concernés et recommande d’appliquer les correctifs sans délai. Aucun workaround documenté n’est disponible.
Les CVE concernées sont :
- CVE-2025-41250 — Injection de l’en-tête SMTP dans vCenter.
- CVE-2025-41251 — Faible mécanisme de récupération de mot de passe dans NSX.
- CVE-2025-41252 — Enumeration des utilisateurs dans NSX.
Le bulletin concerne les environnements VMware Cloud Foundation, vCenter Server (versions 7.0 et 8.0), NSX/NSX-T, ainsi que les plateformes VMware Telco Cloud Platform et Infrastructure. Ci-après, un aperçu de ce que l’on sait, l’impact opérationnel, et les correctifs disponibles.
Découvertes et modalités d’exploitation
1) vCenter : injection d’en-têtes SMTP (CVE-2025-41250 — CVSS 8,5)
Description. vCenter présente une vulnérabilité de pénétration via injection d’en-têtes SMTP. Selon Broadcom, un acteur disposant de privilèges non administratifs, mais ayant l’autorisation de créer des tâches planifiées, pourrait manipuler les courriels de notification liés à ces tâches.
Risques pratiques. Une exploitation pourrait permettre de modifier l’expéditeur ou le destinataire, injecter du contenu ou rediriger des notifications critiques (par exemple, alertes de backups, échecs de tâches ou événements opérationnels). Dans le pire cas, cela facilite du phishing interne ou de la fuite d’informations via des canaux de messagerie de confiance.
Crédits. Broadcom remercie Per von Zweigbergk pour le signalement.
Workaround. Aucune mitigation officielle temporaire n’est proposée. La solution consiste à appliquer les correctifs.
2) NSX : mécanisme faible de récupération de mot de passe (CVE-2025-41251 — CVSS 8,1)
Description. VMware NSX comportait un mécanisme de récupération de mot de passe fragile qui pouvait être exploité par un attaquant non authentifié pour énumérer des noms d’utilisateur valides, facilitant des attaques par force brute ou une intrusion préparatoire.
Crédits. La vulnérabilité a été signalée par la National Security Agency (NSA) des États-Unis.
Workaround. Aucune mitigation officielle temporaire n’est fournie. La mise à jour vers les versions fournies est requise.
3) NSX : enumeration des utilisateurs (CVE-2025-41252 — CVSS 7,5)
Description. NSX comprenait une autre voie d’énumération d’utilisateurs qui, comme la précédente, pouvait être exploitée sans authentification pour obtenir des listes de comptes valides, augmentant la surface d’attaque pour des tentatives d’accès non autorisées.
Crédits. Signalé également par la NSA.
Workaround. Aucune mitigation temporaire n’est proposée. Un correctif est nécessaire.
Produits et versions affectés
Le bulletin mentionne notamment :
- VMware vCenter Server (versions 7.0 et 8.0).
- NSX (lignes 9.x, 4.2.x, 4.1.x et 4.0.x) et NSX-T 3.x.
- VMware Cloud Foundation (versions 9.x, 5.x, 4.5.x).
- VMware vSphere Foundation (9.x).
- VMware Telco Cloud Platform (versions 5.x, 4.x, 3.x, 2.x) et Telco Cloud Infrastructure (3.x, 2.x).
Broadcom a publié des correctifs pour chacun des supports. Aucune mesure de contournement n’est proposée : le parchage est la seule solution.
Versions corrigées (résumé opérationnel)
Pour CVE-2025-41250 (vCenter — Injection d’en-têtes SMTP)
- vCenter 8.0 → 8.0 U3g
- vCenter 7.0 → 7.0 U3w
- vCenter (dans vSphere/Cloud Foundation 9) → 9.0.1.0
- Cloud Foundation 5.x (composant vCenter) → 5.2.2 (consulter KB88287 pour le patch guide asynchrone)
- Cloud Foundation 4.5.x → patch asynchrone vers vCenter 7.0 U3w (voir KB88287)
- Telco Cloud Platform / Telco Cloud Infrastructure (vCenter 5.x/4.x/3.x/2.x et 3.x/2.x) → sujet à KB411508
Pour CVE-2025-41251 et CVE-2025-41252 (NSX — récupération de mot de passe faible et énumération des comptes)
- NSX 9.x (incluant vSphere/Cloud Foundation 9) → 9.0.1.0
- NSX 4.2.x → 4.2.2.2 ou 4.2.3.1
- NSX 4.1.x / 4.0.x → 4.1.2.7
- NSX-T 3.x → 3.2.4.3
- Cloud Foundation 5.x / 4.5.x (NSX) → consulter KB88287 (guide de patch asynchrone)
- Telco Cloud Platform / Telco Cloud Infrastructure (NSX 5.x/4.x/3.x et 3.x/2.x) → la référence KB411518
Important. Le VMSA renvoie vers les notes de version et les pages de téléchargement officielles (vCenter 8.0 U3g, 7.0 U3w, NSX 4.2.3.1, 4.2.2.2, 4.1.2.7, NSX-T 3.2.4.3, VCF 9.0.1.0 et 5.2.2). Si votre environnement est basé sur Cloud Foundation, vérifiez KB88287 pour la procédure de patching asynchrone.
Actions prioritaires pour les administrateurs
- Inventaire rapide.
- Recensez toutes les instances de vCenter (7.0/8.0/9.x) et NSX/NSX-T dans votre environnement (y compris ceux de Telco et Cloud Foundation).
- Notez exactement la version et les dépendances (plugins, solutions d’envoi de notifications par email, intégrations avec backups).
- Évaluer l’exposition et le risque.
- Pour vCenter : vérifiez qui a l’autorisation de créer des tâches planifiées et où envoient les notifications. Si des comptes ont des permissions excessives ou si des destinataires externes sont impliqués, revoyez.
- Pour NSX : déterminez si l’interface de gestion est accessible depuis des segments non fiables. La capacité à énumérer des utilisateurs via un acteur non authentifié indique un risque si cette surface n’est pas isolée.
- Planifier le correctif.
- Programmez des fenêtres de maintenance et effectuez des snapshots ou backups des appliances avant toute mise à jour.
- Pour Cloud Foundation, suivre la procédure asynchrone (voir KB88287).
- Vérifiez la compatibilité avec vos autres produits (ex : dépendances à la version précise de vCenter ou NSX).
- Appliquer les correctifs selon la matrice de réponse.
- vCenter 8.0 → 8.0 U3g; 7.0 → 7.0 U3w; vSphere/VCF 9 → 9.0.1.0.
- NSX 9.x → 9.0.1.0; 4.2.x → 4.2.2.2 ou 4.2.3.1; 4.1/4.0 → 4.1.2.7; NSX-T 3.x → 3.2.4.3.
- Telco Cloud : suivre KB411508 (vCenter) et KB411518 (NSX).
- Renforcer la sécurité (recommandé).
- vCenter : limiter, au strict minimum, le nombre d’utilisateurs pouvant créer des tâches; auditer les modèles de courriels; activer la MFA et la notification d’alertes dans un SIEM pour tout changement dans les tâches planifiées.
- NSX/NSX-T : s’assurer que l’interface de gestion n’est pas accessible depuis Internet; mettre en place des politiques de verrouillage et la MFA; surveiller les tentatives d’authentification, surtout les pics, pour détecter une énumération. Aligner les politiques de mot de passe avec vos standards.
- Consigner toute activité anormale dans un SIEM, notamment des envois SMTP inhabituels, des tentatives de piratage, etc.
- Vérification post-correction.
- Confirmer l’installation des versions correctes.
- Valider la configuration SMTP (format, destinataires) et l’accès à NSX Manager.
- Documenter la clôture du risque dans votre matrice CVE interne.
Pourquoi ce VMSA doit-il être une priorité ?
- Il n’existe aucune mitigation temporaire. Broadcom ne propose pas de workarounds : la seule option efficace est de mettre à jour.
- Vecteurs “faible friction”. Sur vCenter, un simple utilisateur non admin avec un droit basique (créer des tâches) peut manipuler les courriels. Sur NSX, un acteur non authentifié peut énumérer les utilisateurs, un prérequis classique pour des attaques de type force brute ou balayages de mots de passe.
- Superficies critiques. vCenter et NSX sont des plates-formes de contrôle : tout abus peut rapidement impacter le calcul, le réseau et la segmentation.
- Conformité. Une remédiation rapide facilite la conformité avec des exigences telles que NIS2 (UE) ou des attentes réglementaires comme SEC (États-Unis).
Références et sources de téléchargement (voir le VMSA)
- vCenter 8.0 U3g et 7.0 U3w — pages de téléchargement et notes de version officielles.
- Cloud Foundation 9.0.1.0 / 5.2.2 — téléchargements et release notes.
- NSX 4.2.3.1 / 4.2.2.2 / 4.1.2.7 et NSX-T 3.2.4.3 — téléchargements et notes de version.
- KB88287 — Guide de correctif asynchrone pour les environnements VCF.
- KB411508 / KB411518 — procédures pour Telco Cloud.
- Rapports CVE officiels (cve.org) pour CVE-2025-41250, -41251 et -41252.
- Contact PSIRT : [email protected] (PGP disponible).
(Les URL complètes sont fournies dans l’avis VMSA-2025-0016.)
Calendrier et état
- Publication initiale : 29-09-2025 (statut : OUVERT).
- Gravité : Importante (CVSS 7,5–8,5).
- Produits impactés : vCenter / NSX / NSX-T et suites associées (Cloud Foundation, Telco Cloud Platform/Infrastructures).
- Workarounds : non disponibles.
Conclusion
Le VMSA-2025-0016 constitue un avis de haute criticité opérationnelle : il touche aux composants centraux de la plateforme VMware et aucune mitigation n’est proposée à part l’application immédiate de correctifs. Pour réduire la surface d’attaque :
- Inventorier et hiérarchiser selon l’exposition.
- Planifier la mise à jour vers les versions corrigées.
- Renforcer la sécurité (permis d’accès, authentification MFA, surveillance).
- Surveiller toute activité suspecte ou inhabituelle.
Un correctif appliqué rapidement évite une propagation rapide d’incidents jusque dans les plans de contrôle.
Questions fréquentes
Quel est le risque réel de CVE-2025-41250 sur vCenter et comment le limiter dès aujourd’hui ?
CVE-2025-41250 permet l’injection d’en-têtes SMTP dans les emails de vCenter si l’attaquant n’est pas administrateur mais possède le droit de créer des tâches planifiées. Le risque : manipulation d’expéditeurs ou destinataires ainsi qu’une utilisation des notifications pour du phishing ou de la fuite d’informations. La seule mitigation consiste à appliquer les correctifs (8.0 → U3g, 7.0 → U3w, vSphere/VCF 9 → 9.0.1.0). En complément, vérifiez qui peut créer des tâches et auditez les modèles de courriel et les destinataires.
Comment déterminer si ma version de NSX est concernée par CVE-2025-41251/41252 ?
Si vous utilisez NSX 9.x, 4.2.x, 4.1.x, 4.0.x ou NSX-T 3.x, votre version est concernée. Les versions corrigées sont 9.0.1.0, 4.2.2.2 / 4.2.3.1, 4.1.2.7 et 3.2.4.3 respectivement. Pour Cloud Foundation 5.x/4.5.x, consultez KB88287; pour les environnements Telco, voir KB411518. Aucun workaround n’est proposé, la mise à jour étant la seule solution.
Si je ne peux pas faire de correctif aujourd’hui, existe-t-il une mitigation provisoire recommandée par VMware ?
Le VMSA indique explicitement “None” (aucune). Toutefois, par précaution, vous pouvez limiter l’accès aux interfaces de gestion (dissocier NSX de l’accès internet), activer la MFA et la verrouillage, surveiller les tentatives d’énumération ou d’accès inhabituelles, et vérifier les permissions dans vCenter. Ces actions ne remplacent pas le correctif mais constituent une défense supplémentaire.
Où télécharger vCenter 8.0 U3g / 7.0 U3w et NSX 4.2.3.1 / 4.1.2.7 ?
Broadcom met à disposition les liens de téléchargement et notes de version sur son portail support (pour les références exactes, voir le VMSA-2025-0016). Pour VCF, consultez VCF 9.0.1.0, VCF 5.2.2 et la guide KB88287; pour le Telco Cloud, les KB411508 / KB411518.
Qui a signalé ces vulnérabilités ?
La vulnérabilité de vCenter (CVE-2025-41250) a été signalée par Per von Zweigbergk. Les deux de NSX (CVE-2025-41251/41252) par la NSA.
Avertissement légal : cet article résume le VMSA-2025-0016 publié par Broadcom/VMware le 29-09-2025. Pour toute décision de mise à jour ou de compatibilité, consultez toujours l’avis officiel, les notes de version et la documentation spécifique à votre produit.
