VMware vCenter の脆弱性 CVE-2024-38812／38813：悪用の観測と CISA KEV 登録

Recently disclosed VMware vCenter Server bugs are actively exploited in attacks

2024/11/18 SecurityAffairs — VMware vCenter Server に存在する、２つの脆弱性 CVE-2024-38812／CVE-2024-38813 が、現実の攻撃で悪用されていると Broadcom が警告している。同社のアドバイザリには、「脆弱性 CVE-2024-38812／CVE-2024-38813 の悪用が、実際に発生していることを、Broadcom の VMware が確認した」と記載されている。

vCenter Server は、VMware 仮想化およびクラウド・コンピューティングのための、重要なソフトウェア・コンポーネントである。VMware の仮想化データ・センターにおける、包括的かつ集中型の管理プラットフォームとして機能する。

2024年9月中旬に Broadcom は、VMware vCenter Server に存在する脆弱性 CVE-2024-38812 (CVSS：9.8) に対処する、セキュリティ・アップデートをリリースした。この脆弱性は、DCERPC プロトコルの実装に存在するヒープ・オーバーフローの欠陥に起因し、リモート・コード実行につながる恐れがあるとされる。

VMware のアドバイザリには、「vCenter Server へのネットワーク・アクセス権を持つ脅威アクターが、特別に細工されたネットワーク・パケットを送信することで、この脆弱性がトリガーされ、リモート・コード実行につながる可能性が生じる」と記載されている。

さらに同社は、vCenter Server に存在する、権限昇格の脆弱性 CVE-2024-38813 にも対処している。そのアドバイザリには、「vCenter Server へのネットワーク・アクセス権を持つ悪意の人物が、特別に細工されたネットワーク・パケットを送信することで、この脆弱性をトリガーし、権限をルートに昇格させる可能性がある」と記載されている。

2024 Matrix Cup コンテストにおいて、Team TZL の zbl と srs が２件の脆弱性を発見し、Broadcom に報告した。

Broadcom は、「これらの脆弱性は、メモリ管理と破損の問題であり、VMware vCenter サービスに対して悪用されると、リモート・コード実行にいたる可能性が生じる」と述べている。

すでに VMware は、以下のバージョンをリリースし、これらの脆弱性に対処している：

  • vCenter Server 8.0 U3b and 7.0 U3s
  • VMware Cloud Foundation 5.x (Fixed in 8.0 U3b as an asynchronous patch)
  • VMware Cloud Foundation 4.x (Fixed in 7.0 U3s as an asynchronous patch)

2024年6月にも VMware は、リモート攻撃者に悪用されると、リモート・コード実行や権限昇格を引き起こすとされる、vCenter Server の脆弱性に対処している。その時には、DCERPC プロトコルの実装に影響を与える、２件のヒープ ・オーバーフローの脆弱性 CVE-2024-37079／CVE-2024-37080 が問題とされていた。

CISA KEV：Release Date：November 20, 2024
CVE-2024-38812 VMware vCenter Server Heap-Based Buffer Overflow
CVE-2024-38813 VMware vCenter Server Privilege Escalation

この VMware vCenter の脆弱性ですが、第一報は 2024/09/17 の「VMWare vCenter Server の脆弱性 CVE-2024-38812／38813 が FIX：RCE が生じる恐れ」であり、第二報は 2024/10/22 の「VMware vCenter の脆弱性 CVE-2024-38812／38813 に再パッチ：2024年9月の修正は NG」となっています。すでに、CISA KEV にも登録され、CISA Warns of VMware VCenter Vulnerabilities Actively Exploited in Attacks
 という記事もポストされています。ご利用のチームは、十分に ご注意ください。