VMware（威睿）是全球桌面到数据中心虚拟化解决方案的领导厂商。旗下产品 VMware Workstation 是一款适用于 Windows 和 Linux 环境下功能强大的桌面虚拟计算机软件，提供用户可在单一的桌面上同时运行不同的操作系统，和进行开发、测试 、部署新的应用程序的最佳解决方案。而 VMware Fusion 则是 VMware 面向苹果电脑推出的一款虚拟机软件。
近日，VMware发布了警报ID为VMSA-2020-0004.1的安全通告。表示已修复旗下产品的三个漏洞，其中包括 VMware Workstation 和 VMware Fusion 中从虚拟机向宿主机执行代码的严重漏洞 CVE-2020-3947 和另外两个非法提权漏洞 CVE-2020-3948、CVE-2019-5543。
CVE-2020-3947
VMwareWorkstation和Fusion在vmnetdhcp.VMware中包含Use-after-free（释放后使用）漏洞，成功利用此漏洞可导致虚拟机在宿主机上执行任意代码（也可引发DoS攻击），CVSS v3评分为9.3。
CVE-2020-3948
由于CortadoThinprint中文件权限的设置错误，在VMware Workstation和Fusion上运行的Linux虚拟机存在非法提权漏洞。CVSS v3评分为7.8。只有在虚拟机中启用了虚拟打印功能时，才可能进行利用。不过默认情况下，Workstation和Fusion上尚未启用该功能。
攻击者可以利用该漏洞在虚拟机中将自己的权限提升到管理员。
CVE-2019-5543
在VMwareHorizon Client For Windows、VMRC For Windows和Workstation For Windows中，包含VMware USBarbitration service服务配置文件的文件夹可被所有用户写入，该漏洞CVSS v3评分为7.3。
攻击者可能会利用此漏洞以任何用户的身份执行恶意命令。
1.目前官方已发表各项软件修复版本，可进入https://www.vmware.com/security/advisories/VMSA-2020-0004.html页面下载最新版本。
2.国舜漏洞安全预防产品体系助力防护加强
（1）
国舜资产风险感知平台（天罗星）：
全面收集网络环境的资产数据，发现未知资产的暴漏面风险。
国舜资产风险感知平台（天罗星）通过多种方式识别网络中的资产变化、资产风险情况，助力客户在资产无风险识别能力、资产信息准确率不足、资产变更行为缺乏监控、漏洞扫描率低等方面问题的解决，以满足资产管理需求，助力用户掌握资产情况+开展安全评估+及时漏洞响应，为企业资产信息安全保驾护航。
（2）推荐企业用户部署
国舜终端威胁扫描分析平台
对黑客攻击行为进行检测。
国舜终端威胁扫描分析平台，是基于国舜安全能力、研发出的独特终端威胁和恶意检测模型系统，该系统可及时有效检测黑客对终端的各种入侵渗透攻击风险，助力用户快速判断威胁发生情况，定位安全事件，进行全面自动化分析并回溯事件。
（3）
国舜网站安全云监测
实时监测挂马、篡改、暗链、敏感信息、可用性等Web应用风险。
国舜网站安全云监测以一站式SaaS（安全即服务）云服务模式，能够为您的网站、服务器及网络安全设备提供的在线安全监测评估、安全防护以及安全运维服务，
帮助用户完成大规模网站的周期性、自动化安全监测，平台提供的网站漏洞检测、网站挂马检测、网页篡改检测、敏感信息、网站访问平稳度以及网站域名解析的监测，从网站安全的方方面面入手，站在远程的角度来观察网站的脆弱点，及时发现网站存在的安全风险，并形成解决方案，通过丰富的图表和实时的多种方式告警通报给客户，避免安全风险被黑客利用而造成利益损失。
https://www.vmware.com/security/advisories/VMSA-2020-0004.html
https://www.vmware.com/support/policies/security_response.html
https://baike.baidu.com/item/VMware%20Workstation
https://baike.baidu.com/item/VMware%20Fusion
