SUSE「Harvester」インストーラに脆弱性 - 初期PWでSSH接続可能

SUSEのハイパーコンバージドインフラ（HCI）向け仮想化基盤「SUSE Virtualization（Harvester）」で提供されるインストーラに深刻な脆弱性が明らかとなった。

対話型インストーラを利用してあらたなクラスタを構成したり、あらたなホストを追加する際、デフォルトで設定されるログインパスワードで「SSH」によるアクセスが可能となる脆弱性「CVE-2025-62877」が判明したもの。

本来は、クラスタ外よりアクセスする管理用シリアルポートなどに用いることを想定したデフォルトパスワードだが、インストール過程においてホストのネットワーク機能が有効化されたタイミングで「SSH」による接続が可能になるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。「PXEブート」と設定ファイルを用いて構成する場合は影響を受けない。

「同1.7.0」によって対話型インストーラの設計について見直しを実施。ネットワーク有効化前にデフォルトパスワードからの変更を求めることで脆弱性を解消した。

修正版を利用できない環境では、「PXEブート」と設定ファイルを用いてパスワードを指定したり、構築時に「SSH」で利用する22番ポートへのアクセスを制限するなど回避策を実施するよう求めている。

（Security NEXT - 2026/01/06 ）ツイート