「VMware vRealize Operations」に深刻な脆弱性 - アップデートが公開

VMwareの「VMware vRealize Operations」などに複数の脆弱性が含まれていることがわかった。組み合わせて悪用することでシステムの制御を奪われるおそれがある。

「VMware vRealize Operations」「VMware Cloud Foundation」「vRealize Suite Lifecycle Manager」が影響を受ける2件の脆弱性が明らかとなったもの。非公開で報告を受けたという。

「CVE-2021-21975」は「サーバサイドリクエストフォージェリ（SSRF）」の脆弱性で、ネットワーク経由で「vRealize Operations Manager API」へアクセスできるユーザーにより、管理者の資格情報を窃取されるおそれがある。

さらに認証された攻撃者により、同APIによってPhoton OSの任意の場所にファイルを書き込むことができる「CVE-2021-21983」が明らかとなった。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「CVE-2021-21975」が「8.6」、「CVE-2021-21983」が「7.2」といずれも単独では「9」以下だが、これら脆弱性を組み合わせた場合を考慮し、同社は重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同社は脆弱性を修正したアップデートをリリース。「VMware vRealize Operations Manager 7.0.0」など、一部パッチの提供が計画されていないバージョンもあり、注意が必要となる。

（Security NEXT - 2021/04/01 ） ツイート

PR

関連記事

開発プラットフォーム「GitLab」、脆弱性13件を修正
「MongoDB Server」に24件の脆弱性 - 「クリティカル」も
「Apache Kyuubi」に3件の脆弱性 - 修正版が公開
「pgAdmin 4」に深刻な脆弱性 - 前回修正の不備も
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「OpenAM」に深刻な脆弱性 - アップデートを公開
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Adobe Campaign Classic」に悪用リスク高い脆弱性 - 早急に更新を