VMware Aria Automation の脆弱性 CVE-2023-34063 が FIX：直ちにパッチを！

CVE-2023-34063 (CVSS 9.9): A Critical Flaw in VMware Aria Automation

2024/01/16 SecurityOnline — VMware Aria Automation (旧 vRealize Automation) は、複雑なインフラストラクチャをオーケストレーションし、自動化するための要として機能する。この強力な CMP (Cloud Management Platform) は、多様な環境にまたがるアプリケーションとリソースのデプロイを合理化し、利便性と制御の融合を提供するものだ。しかし、この脆弱性 CVE-2023-34063 (CVSS：9.9) の悪用に成功した攻撃者は、リモートからの操作を可能にするという。

この脆弱性 CVE-2023-34063 は、Aria Automation 内のアクセス制御の欠如に起因すると説明されている。この脆弱性は、リモートの認証された脅威アクターに対して、ユーザー組織とワークフローへの不正アクセスの扉を開くものである。この種の脆弱性が悪用されると、機密データの漏洩や重要な業務の中断につながる可能性があり、その影響は深刻なものとなる。

VMware は、「この脆弱性を悪用に成功した認証済みの攻撃者は、リモート組織やワークフローへの不正アクセスを引き起こす可能性がある」と述べている。

この脆弱性の影響を受ける VMware 製品の一覧は以下の通り：

• VMware Aria Automation (旧 vRealize Automation) バージョン 8.14.x／8.13.x／8.12.x／8.11.x
• VMware Cloud Foundation (Aria Automation) バージョン 5.x ／4.x

なお、この脆弱性は、Commonwealth Scientific and Industrial Research Organisation (CSIRO) の Scientific Computing Platforms チームにより報告された。

現在のところ、脆弱性 CVE-2023-34063 が攻撃に悪用されたことを示す証拠はないと、VMware は述べている。この脆弱性の発見は、潜在的なエクスプロイトに対する防御を強化するための、重要な機会をユーザーに提供するものだ。

この発見を受けて、VMware は脆弱性の存在を確認し、パッチのダウンロード・リンクも提供している。パッチのインストール手順の詳細は、VMware のナレッジベース Web サイトで簡単に入手できる。これらのリソースは、管理者や IT プロフェッショナルがシステムにパッチを適用し、この脆弱性が可能にする不正侵入から保護するために不可欠なものである。

VMware に新たな脆弱性ですが、直近の記事としては、2023/12/01 の「VMware Cloud Director の脆弱性 CVE-2023-34060 が FIX：公表から２週間後にパッチ適用」があります。よろしければ、VMware で検索も、ご利用ください。