ゲストOSに導入する「VMware Tools」に脆弱性 - アップデートが公開

VMware製品のゲストOSにインストールするユーティリティ「VMware Tools」に署名検証を回避できる脆弱性が明らかとなった。アップデートが提供されている。

同ソフトウェアにおいて「SAMLトークン」の署名検証をバイパスすることが可能となる脆弱性「CVE-2023-20900」が明らかとなったもの。

同脆弱性は、仮想マシンのネットワークにおいて、中間者攻撃が可能となる場合に悪用でき、「SAMLトークン」の署名検証する処理を回避してゲストによる操作を行うことができるという。

同社は共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「7.5」とし、4段階ある重要度については、上から2番目の「重要（Important）」とレーティングした。

同社はWindows向けに「VMware Tools 12.3.0」をリリース。Linuxの旧バージョンに「同10.3.26」を提供する。

またLinuxの12系、11系、10.3系に対し、Linuxのディストリビューターなどより「open-vm-tools」として「同12.3.0」を展開するとしている。

（Security NEXT - 2023/09/01 ）ツイート