VMware ESXi／vCenter／ Workstation の４件の脆弱性が FIX：RCE／DoS／XSS などの恐れ

Broadcom Fixes RCE, DoS, XSS in VMware ESXi, vCenter, Workstation

2025/05/20 SecurityOnline — Broadcom 傘下の VMware が発表したのは、ESXi／vCenter Server／Workstation Pro／Fusion などの製品群に発見された、４件の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性 CVE-2025-41225／CVE-2025-41226／CVE-2025-41227／CVE-2025-41228 は、コマンド実行／サービス拒否攻撃／反射型 XSS 攻撃などを引き起し、仮想化インフラ全体に広範なリスクをもたらすものだ。

vCenter Server：CVE-2025-41225：認証済みコマンド実行

この脆弱性は CVSSv3 ベース・スコア 8.8 (Important) と評価され、権限を持つ攻撃者に対して、vCenter Server 上での任意のコマンド実行を許す可能性がある。アドバイザリには、「アラームの作成／変更および、スクリプト・アクションの実行権限を持つ悪意のある攻撃者が、この脆弱性を悪用すると、vCenter Server 上での任意のコマンド実行が引き起こされるかもしれない」と説明されている。vCenter バージョン 7.0／8.0 向けのパッチが提供されている。

ESXi：CVE-2025-41226：ゲスト操作によるサービス拒否

この脆弱性は ESXi に存在し、深刻度は CVSS：6.8 (Medium) と評価されている。アドバイザリには、「VM 上でゲスト操作権限を持つ攻撃者が、この問題をトリガーし、VMware Tools が実行され、ゲスト操作が有効化されている Guest VM で、サービス拒否状態が引き起こされる可能性がある」と記されている。

ESXi／Workstation／Fusion：CVE-2025-41227：ホスト・メモリ枯渇

ESXi／Workstation／Fusion に影響を及ぼすバグであり、Guest OS 内の低権限ユーザーによりトリガーされる可能性がある。アドバイザリには、「Guest OS 内で管理者権限を持たない攻撃者であっても、ホスト・プロセスのメモリを枯渇させることで、この欠陥を悪用できる」と記されている。CVSS スコアは 5.5 だが、仮想化ホストを不安定にする可能性があるため、パッチ適用が必要である。

vCenter／ESXi：CVE-2025-41228：反射型 XSS

この Web ベースの脆弱性は、不適切な入力検証に起因し、CVSS スコア 4.3 と評価されている。アドバイザリには、「特定の ESXi ホスト／vCenter Server の URL パスのログイン・ページに、ネットワーク・アクセスが可能な攻撃者であれば、この問題を悪用できる。その結果として、Cookie の窃取や、悪意の Webサイトへのリダイレクトなどが引き起こされる可能性がある」と述べている。

影響を受ける製品

影響を受ける製品は、以下のとおりである：

  • VMware ESXi 7.0／8.0
  • VMware vCenter Server 7.0／8.0
  • VMware Cloud Foundation
  • VMware Workstation 17.x
  • VMware Fusion 13.x
  • VMware Telco Cloud Platform／Infrastructure
パッチの提供状況

以下の修正プログラムがリリースされている：

詳細なパッチノートとアップデート手順へのリンクは、Broadcom の公式テクニカル・ドキュメント・ポータルに掲載されている。

VMware ESXi／vCenter／ Workstation の脆弱性が FIX とのことです。ご利用のチームは、アップデートをお急ぎください。なお、VMware 製品の脆弱性として、「VMware Cloud Foundation 脆弱性 CVE-2025-41229／41230／41231 が FIX：深刻な不正アクセスの恐れ」という記事も投稿しています。よろしければ、VMware で検索と併せて、ご参照ください。