2月16日，VMware公司发布安全公告VMSA-2022-0004，公告包括了针对影响VMware ESXi、Workstation、Fusion和Cloud Foundation等“看家”云产品的多个漏洞补丁，修复了多个标记为“高危”(Critical)的安全漏洞。这些漏洞的CVSS评分都高达8.2-8.4，VMWare公司建议所有相关用户紧急升级，修复这些安全漏洞。
值得一提的是，这次安全漏洞的修复，主要就是由国内安全新兴企业“赛博昆仑”旗下的“昆仑实验室”协助VMWare公司完成的。在2021年10月第四届“天府杯”国际网络安全挑战赛中，昆仑实验室发现了VMWare云产品的相关漏洞，也是实验室获得大赛冠军的战绩之一。
昆仑实验室是北京赛博昆仑科技有限公司旗下的安全研究团队。在去年的“天府杯”比赛中，昆仑实验室状态神勇，表现强势，在为期两天的比赛中，先后攻下包括VMware ESXi、VMware workstaion在内共七个比赛项目，赢得65.45万美元的奖金，并强势冲顶，加冕天府杯全球总冠军。
“天府杯”结束以后，各家厂商开始陆续修复中国安全团队在该赛事中发现的安全漏洞。昆仑实验室作为赛事总冠军，从去年起就陆续收到来自苹果、微软、谷歌等厂商的致谢。这一情况一直持续到目前——除了本次VMware的致谢，今年伊始，昆仑实验室成员还收到了来自微软、Adobe PDF Reader等厂商发出的致谢。2022年开年还不到2个月，赛博昆仑和昆仑实验室就已经多次证明了自己超人一筹的技术能力。
此次VMware推出的安全公告中，涵盖了编号为CVE-2021-22040、CVE-2021-22041、CVE-2021-22042、CVE-2021-22043和CVE-2021-22050的五个安全漏洞，除CVE-2021-22050外，其余四个安全漏洞，都由昆仑实验室发现。
其中，CVE-2021-22040为VMware ESXi、Workstation和Fusion在XHCI USB控制器中包含的释放后使用漏洞，该漏洞的存在，可能导致虚拟机上的本地管理权限利用此问题执行代码。CVE-2021-22041则为VMware ESXi、Workstation和Fusion在UHCI USB控制器中包含的双取漏洞，同样可能导致被虚拟机上具有本地管理权限的攻击者利用，在主机上运行虚拟机的VMX进程时执行代码。CVE-2021-22042为VMware ESXi包含的未经授权的访问漏洞，CVE-2021-22043则为VMware ESXi在处理临时文件时存在的TOCTOU(检查时间-使用时间)漏洞。
按照VMware在本次公告中的评估，这些漏洞都具有极高的危险性。四个漏洞均已被纳入“重要安全问题”，其中CVE-2021-22040、CVE-2021-22041的CVSSv3严重性评分高达8.4，CVE-2021-22042和CVE-2021-22043的评分也达到了8.2。
事实上，自2021年初成立以来，昆仑实验室一直是谷歌、微软、苹果等厂商致谢更新名单上的常客，总能因发现和修补安全漏洞而榜上有名。作为专注提供零日漏洞独家防御能力的新一代网络空间安全公司，赛博昆仑在软硬件与系统安全、云安全、安全攻防对抗等领域，都具备较深经验和技术特点。“昆仑实验室”则由顶级安全专家组成，专门负责高级漏洞研究与对抗。实验室成员在桌面和移动终端系统、云计算和虚拟化平台、IoT与物联网设备、企业级软件、服务器和企业设备等多个漏洞研究方向上都有较深攻防能力和经验。
强大的技术实力，也使赛博昆仑备受资本市场的关注。据统计，去年初成立的赛博昆仑，在第一年内就吸引早期投资接近1.5亿元。对此，投资方代表表示，“赛博昆仑作为国内独家有能力提供完整 0 day漏洞防御与对抗服务的新一代网络安全公司，技术实力已在国际上得到证明。我们认为公司将成为筑牢国家网络安全防线的中坚力量，填补目前网络安全服务市场未满足的需求。我们将持续支持和陪伴公司成长，期待公司未来能更好地守护我国政企网络安全。”
据悉，在新一轮融资完成后，赛博昆仑将持续完善产品矩阵，在包括服务器与工作站安全、云原生与容器安全、高级威胁情报、高级安全溯源等多个企业安全产品与服务方向持续进行研发投入，扩大市场落地。
（免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）
