「VMware Aria Automation」に脆弱性 - トークン窃取のおそれ

Broadcomは、同社のITインフラ管理プラットフォーム「VMware Aria Automation」に脆弱性が見つかったとしてアップデートをリリースした。

現地時間2025年5月12日にセキュリティアップデートをリリースし、ユーザーのアクセストークンを窃取できるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-22249」について明らかにしたもの。

非公開で報告を受けた脆弱性としており、アプライアンスへログイン中のユーザーに、細工したURLをクリックさせることで、アクセストークンの窃取が可能だという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.2」と評価。重要度は、4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。

同社は、脆弱性へ対処した「VMware Aria Automation 8.18.1 patch 2」のほか、「VMware Cloud Foundation」「VMware Telco Cloud Platform」向けにもパッチを提供。利用者に注意を呼びかけている。

（Security NEXT - 2025/05/13 ）ツイート