VMSA-2021-0002

Critical

アドバイザリ ID： VMSA-2021-0002

CVSS v3 での範囲： 5.3-9.8

発行日： 2021-02-23

更新日： 2021-02-23 （最初のアドバイザリ）

CVE： CVE-2021-21972、CVE-2021-21973、CVE-2021-21974

概要： VMware ESXi および vCenter Server の更新は、セキュリティに関する複数の脆弱性（CVE-2021-21972、CVE-2021-21973、CVE-2021-21974）に対処します

1. 影響を受ける製品

VMware ESXi
VMware vCenter Server (vCenter Server)
VMware Cloud Foundation (Cloud Foundation)

2. はじめに

VMware ESXi および vSphere Client (HTML5) の複数の脆弱性が、非公開で VMware に報告されました。影響を受ける VMware 製品でこれらの脆弱性を修正するための更新を利用できます。

3a. VMware vCenter Server の更新は、vSphere Client のリモートコード実行の脆弱性 (CVE-2021-21972) に対処します

説明

vSphere Client (HTML5) には、vCenter Server プラグインのリモートコード実行の脆弱性が含まれています。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 9.8 になるため、「重大 (Critical)」の範囲にあると評価しました。

既知の攻撃ベクトル

ポート 443 にネットワーク経由でアクセスできる悪意のあるアクターは、この問題を悪用して、vCenter Server をホストする基盤となるオペレーティングシステム上で無制限の権限を有するコマンドを実行できる可能性があります。

解決方法

CVE-2021-21972 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21972 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

影響を受ける vROps 用 vCenter Server プラグインは、すべてのデフォルトインストールで使用できます。このエンドポイントを使用可能にするために、vROps が存在する必要はありません。回避策に関するナレッジベースの記事に従って無効にします。

謝辞

VMware は、この脆弱性を報告していただいた Positive Technologies 社の Mikhail Klyuchnikov 氏に心より御礼申し上げます。

対策マトリックス：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
vCenter Server	7.0	任意	CVE-2021-21972	9.8	Critical	7.0 U1c	KB82374	なし
vCenter Server	6.7	任意	CVE-2021-21972	9.8	Critical	6.7 U3l	KB82374	なし
vCenter Server	6.5	任意	CVE-2021-21972	9.8	Critical	6.5 U3n	KB82374	なし

対策マトリックス 3a のコンポーネントを展開する影響を受ける製品スイート：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
Cloud Foundation (vCenter Server)	4.x	任意	CVE-2021-21972	9.8	Critical	4.2	KB82374	なし
Cloud Foundation (vCenter Server)	3.x	任意	CVE-2021-21972	9.8	Critical	3.10.1.2	KB82374	なし

3b. ESXi OpenSLP ヒープオーバーフローの脆弱性 (CVE-2021-21974)

説明

ESXi で使用される OpenSLP には、ヒープオーバーフローの脆弱性があります。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 8.8 になるため、「高レベル (Important)」の範囲にあると評価しました。

既知の攻撃ベクトル

ESXi と同じネットワークセグメント内に存在し、ポート 427 にアクセスできる悪意のあるアクターは、OpenSLP サービスでヒープオーバーフローの問題をトリガすることで、リモートコードを実行できる可能性があります。

解決方法

CVE-2021-21974 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21974 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

[1] VMware は、VMware vSphere のセキュリティ設定ガイドに従って、OpenSLP サービスを使用していない場合は ESXi で無効にすることを推奨します。詳細については、ブログの投稿を参照してください。https://blogs.vmware.com/vsphere/2021/02/evolving-the-vmware-vsphere-security-configuration-guides.html

[2] KB82705 では、最新の VMware Cloud Foundation (VCF) でサポートされている ESXi ビルドに加えて、ESXi ホットパッチを非同期的に使用する手順が記載されています。

謝辞

VMware は、この脆弱性を報告していただいた、Trend Micro の Zero Day Initiative の Lucas Leong 氏 (@_wmliang_) に心より御礼申し上げます。

対策マトリックス：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
[1] ESXi	7.0	任意	CVE-2021-21974	8.8	Important	ESXi70U1c-17325551	KB76372	なし
[1] ESXi	6.7	任意	CVE-2021-21974	8.8	Important	ESXi670-202102401-SG	KB76372	なし
[1] ESXi	6.5	任意	CVE-2021-21974	8.8	Important	ESXi650-202102101-SG	KB76372	なし

対策マトリックス 3b のコンポーネントを展開する影響を受ける製品スイート：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
[1] Cloud Foundation (ESXi)	4.x	任意	CVE-2021-21974	8.8	Important	4.2	KB76372	なし
[1] Cloud Foundation (ESXi)	3.x	任意	CVE-2021-21974	8.8	Important	[2] KB82705	KB76372	なし

3c. VMware vCenter Server の更新は、vSphere Client の SSRF の脆弱性 (CVE-2021-21973) に対処します

説明

vSphere Client (HTML5) には、vCenter Server プラグインでの URL の不適切な検証による SSRF（サーバサイドリクエストフォージェリ）の脆弱性が含まれています。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 5.3 になるため、「中レベル (Moderate)」の範囲にあると評価しました。

既知の攻撃ベクトル

ポート 443 にネットワーク経由でアクセスできる悪意のあるアクターは、この問題を悪用して、POST 要求を vCenter Server プラグインに送信し、情報を漏えいさせる可能性があります。

解決方法

CVE-2021-21973 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21973 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

謝辞

VMware は、この脆弱性を報告していただいた Positive Technologies 社の Mikhail Klyuchnikov 氏に心より御礼申し上げます。

対策マトリックス：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
vCenter Server	7.0	任意	CVE-2021-21973	5.3	Moderate	7.0 U1c	KB82374	なし
vCenter Server	6.7	任意	CVE-2021-21973	5.3	Moderate	6.7 U3l	KB82374	なし
vCenter Server	6.5	任意	CVE-2021-21973	5.3	Moderate	6.5 U3n	KB82374	なし

対策マトリックス 3c のコンポーネントを展開する影響を受ける製品スイート：

製品	バージョン	実行環境	CVE 識別番号	CVSS v3	深刻度	修正されたバージョン	回避策	追加のドキュメント
Cloud Foundation (vCenter Server)	4.x	任意	CVE-2021-21973	5.3	Moderate	4.2	KB82374	なし
Cloud Foundation (vCenter Server)	3.x	任意	CVE-2021-21973	5.3	Moderate	3.10.1.2	KB82374	なし