「VMware」複数製品に脆弱性 - 特にmacOS環境で注意を

VMwareは、「VMware ESXi」をはじめ、複数製品に脆弱性が明らかになったとしてアップデートをリリースした。

「VMware ESXi」「VMware Workstation」「VMware Fusion」「VMware Remote Console for Mac」「VMware Horizon Client for Mac」に脆弱性が明らかとなったことからアップデートを公開したもの。今回のアップデートに重要度が「クリティカル（Critical）」とされる脆弱性は含まれていない。

同社は3件の脆弱性を公表したが、このうち重要度が最も高いのは、「VMware Fusion」「VMware Remote Console for Mac」「VMware Horizon Client for Mac」などmacOS向け製品で明らかとなった「TOCTOU（Time-of-check Time-of-use）」の脆弱性「CVE-2020-3957」。

共通脆弱性評価システム「CVSSv3」のベーススコアは「7.3」で、重要度は4段階中上から2番目にあたる「重要」とされている。「Fusion」にはアップデートとなる「同11.5.5」を用意したが、他2製品に関しては6月1日の段階で保留となっており、アップデートは未提供の状態だ。

また「VMware ESXi」「VMware Workstation」「VMware Fusion」に2件の脆弱性が判明した。「CVSSv3」のスコアが「4.0」で重要度が「中（Moderate）」とされるメモリリークが生じる脆弱性「CVE-2020-3958」と、「CVSSv3」スコアが「3.3」で「Low（低）」とされるサービス拒否の脆弱性「CVE-2020-3959」で、同社は各製品向けにアップデートや修正パッチを用意した。

ただし、「ESXi」の「同7.0」に関しては、これら脆弱性の影響を受けないとしている。

（Security NEXT - 2020/06/01 ） ツイート

PR

関連記事

「PAN-OS」脆弱性への攻撃、国内でも被害報告
「ClamAV」にクリティカルパッチ - サービス拒否の脆弱性など修正
「PAN-OS」のアップデートが公開 - 旧版にも順次提供予定
「PAN-OS」脆弱性、攻撃条件を修正 - 一部緩和策が「効果なし」に
「PAN-OS」脆弱性に対する攻撃が増加 - コマンドで悪用試行を確認可能
「PAN-OS」脆弱性の詳細や悪用コードが公開済み - 攻撃拡大のおそれ
WP向けメールマーケティングプラグインにSQLi脆弱性
HashiCorpのGo言語向けライブラリ「go-getter」に脆弱性
Cisco、セキュリティアドバイザリ3件を公開 - 一部でPoCが公開済み
「Chrome 124」が公開 - セキュリティ関連で23件の修正