VMware vCenter Server の脆弱性 CVE-2021-22048：公開から8ヶ月で FIX

VMware patches vCenter Server flaw disclosed in November

2022/07/12 BleepingComputer — VMware は、8ヶ月前に公開された、vCenter Server の IWA (Integrated Windows Authentication) 認証メカニズムに存在する、深刻な権限昇格の脆弱性 CVE-2021-22048 に対して、ついにパッチをリリースした。CrowdStrike の Yaron Zinar と Sagi Sheinfeld により報告された、この脆弱性 CVE-2021-22048 は、VMware Cloud Foundation にも影響をおよぼすものだ。

この脆弱性の悪用に成功すると、パッチ未適用の vCenter Server へのアクセス権を持つ脅威アクターが、より高い特権グループに昇格することが可能になる。

VMware は、「この脆弱性は、低権限でユーザー操作を必要としない、複雑性の高い攻撃の一部として悪用が可能だが、その攻撃経路は、標的となるサーバーが配置されているフィジカル／ロジカル・ネットワークに限定される」と述べている (ただし、NIST NVD の CVE-2021-22048 エントリでは、複雑性の低い攻撃においては、リモートで悪用可能であるとしている)。

それにもかかわらず、VMware は、この脆弱性の深刻度を important と評価している。これは、「悪用されると、認証済みの攻撃者により、データや処理リソースの機密性／完全性が完全に侵害される」ことを示唆している。

この脆弱性 CVE-2021-22048 は、複数のバージョンの vCenter Server (6.5/6.7/7.0) に影響するが、今日になって VMware は、vCenter Server 7.0 Update 3f をリリースし、この脆弱性に対処するセキュリティ・アップデートを提供した。

提供されているワークアラウンド

他の影響を受けるバージョンについては、パッチが保留されている。しかし、VMware は、8カ月前の 2021年11月10日に、セキュリティ・アドバイザリを最初に公開して以来、攻撃ベクターを除去するためのワークアラウンドを提供している。

VMware は、管理者たちに対して、攻撃の試行をブロックするために、影響を受ける Integrated Windows Authentication (IWA) から、Active Directory over LDAPs authentication／Identity Provider Federation for AD FS (vSphere 7.0 のみ) へと切り替えることを推奨している。

さらに同社は、「Active Directory over LDAP authentication は、本脆弱性の影響を受けないが、他の認証方法への移行を強く推奨する。Active Directory over LDAP はドメインの信頼を理解しないため、この方法に切り替える場合、信頼するドメインごとに固有の ID ソースを設定する必要がある。Identity Provider Federation for AD FS には、このような制限はない」と述べている。

VMware は、Active Directory over LDAPs への切り替え、Identity Provider Federation for AD FS への切り替えについて、詳細な手順を提供している。

ずいぶんと時間がかかりましたが、脆弱性 CVE-https://www.grcs.co.jp/promotion/z-today2021-22048 に対するパッチが適用されたとのことです。この件に関しては、2021年11月10日に「VMware の vCenter Server の特権昇格の脆弱性：パッチに先行して回避策を提供」という記事があるだけで、今日までの追加情報がない状況が続いていました。もう、忘れられてしまっているかもしれませんので、VMware vCenter Server をお使いの組織は、ぜひ、ご確認ください。