VMware vCenter Server の深刻な脆弱性 CVE-2022-31680 などが FIX

VMware fixed a high-severity bug in vCenter Server

2022/10/07 SecurityAffairs — 10月6日に VMware は、vCenter Server におけるコード実行の脆弱性 CVE-2022-31680 (CVSS：7.2) に対処するセキュリティ・パッチをリリースした。この脆弱性は、PSC (Platform Services Controller) に存在する、安全でないデシリアライズに起因するものとされる。

同社はアドバイザリで、「vCenter Server の PSC (Platform Services Controller) には、安全でないデシリアライゼーションの脆弱性が存在する。我々は、この問題の深刻度を CVSS スコアの最大値 7.2 の、重要な深刻度の範囲であると評価している。vCenter Server の管理者権限を持つ悪意の行為者が、この脆弱性の悪用に成功すると、vCenter Server をホストする基盤 OS 上で、任意のコードを実行する可能性がある」と述べている。

この脆弱性は、Cisco Talos の研究者である Marcin Noga により報告されたものであり、外部 PSC を持つ vCenter Server 6.5 にのみ影響し、VMware vCenter Server 6.5 U3u で対処されている。

また VMware は、ESXi bare metal hypervisor におけるヌル・ポインタ・デリファレンスの脆弱性  CVE-2022-31681 (CVSS：3.8) にも対処した。

この脆弱性は、Cyber Kunlun Lab の VictorV (Tangtianwen) により報告されたものであり、VMX プロセスにのみ特権を持つ脅威アクターが、ホスト上でサービス拒否状態を引き起こす可能性があるという。

VMware は、バージョン ESXi70U3sf-20036586／ESXi670-2022101-SG／ESXi650-2022101-SG のリリースにより、この脆弱性に対応している。なお、Cloud Foundation (ESXi) も、この脆弱性の影響を受けるとのことだ。

同社は、これらの脆弱性を悪用した攻撃は、確認していないという。

最近の VMware における脆弱性情報としては、8月2日の「VMware 製品群に影響をおよぼす複数の脆弱性 CVE-2022-31656 などが FIX」および、8月9日の「VMware の認証バイパスの脆弱性 CVE-2022-31656：PoC エクスプロイトが公開」、8月25日の「VMware の深刻な脆弱性 CVE-2022-31676 が FIX：権限昇格と乗っ取りを許す」などがあります。よろしければ、VMware で検索も、ご利用ください。