安全研究人员25日发布针对VMware漏洞的攻击代码，该代码可以让VMmare虚拟软件的用户对新出现的文件共享漏洞进行测试。新漏洞可能被攻击者利用，获得进入系统的权限。

　　此漏洞是位于波士顿的Core Security公司发现的。如果企业启用文件共享的功能，该漏洞可能具有危险性，攻击者可以获得进入宿主（host）系统获得全部访问权限。该漏洞影响的系统包括所有目前基于Windows版本的VWware Workstation，ACE和Player软件。

　　VMware已经证实该漏洞，向其客户发布了安全警告，并计划发布更新修补该缺陷。在该警告中，VMware说，此问题不影响WMware ESX Server或VMware Desktop Infrastructure产品。

　　Core Security公司的CTO Ivan Arce说，Core于本周向其客户发布攻击代码，该漏洞说明虚拟软件固有的弱点继续存在。

　　“有观点认为，虚拟技术提供了额外的安全，因为它将真实环境分离出来到虚拟环境，”Arce说，“虽然可能是这么一回事，但还有一种观点认为，虚拟技术简而言之就是软件，而至今所知的软件，没有不存在bug的。”

　　Arce说，该漏洞可能允许攻击者在主机操作系统中创建或修改执行文件 。Core警告用户，关闭文件共享功能，直到VMware发布修补更新。

　　“文件共享是一个很方便使用的功能，因为从一个系统传送文件到另一个系统非常简单，但这并不是唯一传送文件的办法。”Arce说。

　　攻击者可以通过使用一种特殊设计的PathName进入VMware的共享文件夹，发动进攻。Arce说，研究人员是在针对VMware Workstation存在的一个Workstation共享文件夹目录遍历漏洞进行测试时，发现此漏洞的。之前的漏洞是2007年三月份由IDefense实验室的Greg McManus发现的。

　　VMware对之前的漏洞进行过修复，但是却为攻击者留下了另一个漏洞。Arce说，在一个Guest系统中，潜在的恶意程序或用户想VMware共享文件夹机制传递的PathName参数如果验证不当，就产生了该漏洞，从而将该漏洞传到宿主系统的文件系统。

　　Burton公司的分析师Pete Lindstrom表示，虽然在过去几年内，VMware软件被报道出现两打之多的漏洞，但是恶意攻击者针对虚拟环境进行攻击的风险比较低。风险的程度与软件的应用相连，目前为止虚拟软件的应用还是相对而言较低。

　　“我相信，与虚拟化相关的风险比与平台相关的风险要低很多，”Lindstrom说，“虚拟化不是替代什么。虽然好像听起来是，但是，你必须先安装操作系统才能让软件开始允许。”