VMware Aria Operations の複数の脆弱性が FIX：情報窃取や悪意のスクリプト実行の恐れ

VMware Aria Operations Flaws Expose Credentials, Enable Privilege Escalation

2025/01/30 SecurityOnline — Broadcom が発行したセキュリティ・アドバイザリは、VMware Aria Operations and Logs に影響を及ぼす、複数の脆弱性について詳述するものである。それらの脆弱性の深刻度は Important 〜 Moderate の範囲に分布しており、最も深刻な脆弱性の悪用に成功した攻撃者は、機密情報へのアクセスおよび、悪意のコード実行の可能性を得るという。

最も深刻な脆弱性 CVE-2025-22218 (CVSS 8.5) は、情報漏えいの脆弱性であり、VMware Aria Operations for Logs と統合された VMware 製品の認証情報を盗み出す機会を、”View Only Admin” 権限を持つ攻撃者に与えるものだ。もう１つの脆弱性 CVE-2025-22219 は、蓄積型の XSS の脆弱性であり、悪意のスクリプトの挿入と、許可されていないアクションの実行を、攻撃者に許す可能性があるという。

その他の脆弱性として、このアドバイザリに含まれるのは、VMware Aria Operations for Logs の権限昇格の脆弱性 CVE-2025-22220 と、蓄積型 XSS の脆弱性 CVE-2025-22221、VMware Aria Operations の情報漏洩の脆弱性 CVE-2025-22222 である。

これらの脆弱性は、次の VMware 製品に影響を及ぼす：

ProductAffected VersionsCVEsFixed Version
VMware Aria Operations for Logs8.xCVE-2025-22218, CVE-2025-22219, CVE-2025-22220, CVE-2025-222218.18.3
VMware Aria Operations8.xCVE-2025-222228.18.3
VMware Cloud Foundation5.x, 4.xAll above CVEsKB92148

すべてのユーザーに対して、Broadcom が強く推奨するのは、可能な限り早急に、VMware 製品群を最新バージョンへと更新することだ。

VMware Aria Operations の５件の脆弱性が FIX しました。ご利用のチームは、ご注意ください。なお、関連する直近のトピックは、2024/11/26 の「VMware Aria Operations の複数の脆弱性が FIX：直ちにパッチ適用を！」となります。よろしければ、VMware で検索と併せて、ご参照ください。