Critical

VMSA-2021-0002
5.3-9.8
2021-02-23
2021-02-23 (最初のアドバイザリ)
CVE-2021-21972、CVE-2021-21973、CVE-2021-21974
VMware ESXi および vCenter Server の更新は、セキュリティに関する複数の脆弱性(CVE-2021-21972、CVE-2021-21973、CVE-2021-21974)に対処します
1. 影響を受ける製品
  • VMware ESXi
  • VMware vCenter Server (vCenter Server)
  • VMware Cloud Foundation (Cloud Foundation)
2. はじめに

VMware ESXi および vSphere Client (HTML5) の複数の脆弱性が、非公開で VMware に報告されました。影響を受ける VMware 製品でこれらの脆弱性を修正するための更新を利用できます。

3a. VMware vCenter Server の更新は、vSphere Client のリモート コード実行の脆弱性 (CVE-2021-21972) に対処します

説明

vSphere Client (HTML5) には、vCenter Server プラグインのリモート コード実行の脆弱性が含まれています。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 9.8 になるため、「重大 (Critical)」の範囲にあると評価しました。

既知の攻撃ベクトル

ポート 443 にネットワーク経由でアクセスできる悪意のあるアクターは、この問題を悪用して、vCenter Server をホストする基盤となるオペレーティング システム上で無制限の権限を有するコマンドを実行できる可能性があります。 

解決方法

CVE-2021-21972 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21972 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

影響を受ける vROps 用 vCenter Server プラグインは、すべてのデフォルト インストールで使用できます。このエンドポイントを使用可能にするために、vROps が存在する必要はありません。回避策に関するナレッジベースの記事に従って無効にします。

謝辞

VMware は、この脆弱性を報告していただいた Positive Technologies 社の Mikhail Klyuchnikov 氏に心より御礼申し上げます。

対策マトリックス:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
vCenter Server
7.0
任意
CVE-2021-21972
Critical
なし
vCenter Server
6.7
任意
CVE-2021-21972
Critical
なし
vCenter Server
6.5
任意
CVE-2021-21972
Critical
なし

対策マトリックス 3a のコンポーネントを展開する影響を受ける製品スイート:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
Cloud Foundation (vCenter Server)
4.x
任意
CVE-2021-21972
Critical
4.2
なし
Cloud Foundation (vCenter Server)
3.x
任意
CVE-2021-21972
Critical
3.10.1.2
なし
3b. ESXi OpenSLP ヒープ オーバーフローの脆弱性 (CVE-2021-21974)

説明

ESXi で使用される OpenSLP には、ヒープ オーバーフローの脆弱性があります。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 8.8 になるため、「高レベル (Important)」の範囲にあると評価しました。

既知の攻撃ベクトル

ESXi と同じネットワーク セグメント内に存在し、ポート 427 にアクセスできる悪意のあるアクターは、OpenSLP サービスでヒープ オーバーフローの問題をトリガすることで、リモート コードを実行できる可能性があります。

解決方法

CVE-2021-21974 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21974 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

[1] VMware は、VMware vSphere のセキュリティ設定ガイドに従って、OpenSLP サービスを使用していない場合は ESXi で無効にすることを推奨します。詳細については、ブログの投稿を参照してください。https://blogs.vmware.com/vsphere/2021/02/evolving-the-vmware-vsphere-security-configuration-guides.html

[2] KB82705 では、最新の VMware Cloud Foundation (VCF) でサポートされている ESXi ビルドに加えて、ESXi ホット パッチを非同期的に使用する手順が記載されています。 

謝辞

VMware は、この脆弱性を報告していただいた、Trend Micro の Zero Day Initiative の Lucas Leong 氏 (@_wmliang_) に心より御礼申し上げます。

対策マトリックス:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
[1] ESXi
7.0
任意
CVE-2021-21974
Important
ESXi70U1c-17325551
なし
[1] ESXi
6.7
任意
CVE-2021-21974
Important
ESXi670-202102401-SG
なし
[1] ESXi
6.5
任意
CVE-2021-21974
Important
ESXi650-202102101-SG
なし

対策マトリックス 3b のコンポーネントを展開する影響を受ける製品スイート:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
[1] Cloud Foundation (ESXi)
4.x
任意
CVE-2021-21974
Important
4.2
なし
[1] Cloud Foundation (ESXi)
3.x
任意
CVE-2021-21974
Important
なし
3c. VMware vCenter Server の更新は、vSphere Client の SSRF の脆弱性 (CVE-2021-21973) に対処します

説明

vSphere Client (HTML5) には、vCenter Server プラグインでの URL の不適切な検証による SSRF(サーバ サイド リクエスト フォージェリ)の脆弱性が含まれています。VMware では、この問題の深刻度について、CVSS v3 での基本値が最大で 5.3 になるため、「中レベル (Moderate)」の範囲にあると評価しました。

既知の攻撃ベクトル

ポート 443 にネットワーク経由でアクセスできる悪意のあるアクターは、この問題を悪用して、POST 要求を vCenter Server プラグインに送信し、情報を漏えいさせる可能性があります。

解決方法

CVE-2021-21973 を修正するには、以下の「対策マトリックス」の「修正されたバージョン」列に記載されている更新を、影響を受ける展開に対して適用します。

回避策

CVE-2021-21973 の回避策は、以下の「対策マトリックス」の「回避策」列に記載されています。

追加のドキュメント

なし。

メモ

影響を受ける vROps 用 vCenter Server プラグインは、すべてのデフォルト インストールで使用できます。このエンドポイントを使用可能にするために、vROps が存在する必要はありません。回避策に関するナレッジベースの記事に従って無効にします。

謝辞

VMware は、この脆弱性を報告していただいた Positive Technologies 社の Mikhail Klyuchnikov 氏に心より御礼申し上げます。

対策マトリックス:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
vCenter Server
7.0
任意
CVE-2021-21973
Moderate
なし
vCenter Server
6.7
任意
CVE-2021-21973
Moderate
なし
vCenter Server
6.5
任意
CVE-2021-21973
Moderate
なし

対策マトリックス 3c のコンポーネントを展開する影響を受ける製品スイート:

製品 バージョン 実行環境 CVE 識別番号 CVSS v3 深刻度 修正されたバージョン 回避策 追加のドキュメント
Cloud Foundation (vCenter Server)
4.x
任意
CVE-2021-21973
Moderate
4.2
なし
Cloud Foundation (vCenter Server)
3.x
任意
CVE-2021-21973
Moderate
3.10.1.2
なし
4. リファレンス

VMware ESXi 7.0 ESXi70U1c-17325551
https://my.vmware.com/group/vmware/patch
https://docs.vmware.com/jp/VMware-vSphere/7.0/rn/vsphere-esxi-70u1c.html

 

VMware ESXi 6.7 ESXi670-202102401-SG
https://my.vmware.com/group/vmware/patch
https://docs.vmware.com/jp/VMware-vSphere/6.7/rn/esxi670-202102001.html

 

VMware ESXi 6.5 ESXi650-202102101-SG
https://my.vmware.com/group/vmware/patch
https://docs.vmware.com/jp/VMware-vSphere/6.5/rn/esxi650-202102001.html

 

VMware vCloud Foundation 4.2
ダウンロードとドキュメント:
https://docs.vmware.com/jp/VMware-Cloud-Foundation/4.2/rn/VMware-Cloud-Foundation-42-Release-Notes.html


VMware vCloud Foundation 3.10.1.2
ダウンロードとドキュメント:
https://docs.vmware.com/jp/VMware-Cloud-Foundation/3.10.1/rn/VMware-Cloud-Foundation-3101-Release-Notes.html


vCenter Server 7.0.1 更新 1
ダウンロードとドキュメント:
https://customerconnect.vmware.com/jp/downloads/details?downloadGroup=VC70U1C&productId=974
https://docs.vmware.com/jp/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u1c-release-notes.html

 

vCenter Server 6.7 U3l
ダウンロードとドキュメント:
https://customerconnect.vmware.com/jp/downloads/details?downloadGroup=VC67U3L&productId=742&rPId=57171
https://docs.vmware.com/jp/VMware-vSphere/6.7/rn/vsphere-vcenter-server-67u3l-release-notes.html

 

vCenter Server 6.5 U3n
ダウンロードとドキュメント:
https://customerconnect.vmware.com/jp/downloads/details?downloadGroup=VC65U3N&productId=614&rPId=60942
https://docs.vmware.com/jp/VMware-vSphere/6.5/rn/vsphere-vcenter-server-65u3n-release-notes.html

 

Mitre CVE 辞書へのリンク:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21972
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21973
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21974

 

FIRST が提供する CVSS v3 計算ツール:
CVE-2021-21972:https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2021-21973:https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVE-2021-21974:https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

 

5. 変更ログ

2021-02-23 VMSA-2021-0002
最初のセキュリティ アドバイザリ。

6. 連絡先

製品のセキュリティに関する通知およびお知らせの E メール リスト:

https://lists.vmware.com/cgi-bin/mailman/listinfo/security-announce 

 

このセキュリティ アドバイザリは、次のリストに掲載されています。  

security-announce@lists.vmware.com  

bugtraq@securityfocus.com  

fulldisclosure@seclists.org 

 

E メール:security@vmware.com

PGP キー:

https://kb.vmware.com/kb/1055 

 

VMware セキュリティ アドバイザリ

https://www.vmware.com/jp/security/advisories 

 

VMware セキュリティ対策ポリシー

https://www.vmware.com/jp/support/policies/security_response.html 

 

VMware のライフサイクル サポート フェーズ

https://www.vmware.com/jp/support/policies/lifecycle.html 

 

VMware セキュリティ & コンプライアンスに関するブログ  

https://blogs.vmware.com/security 

 

Twitter

https://twitter.com/VMwareSRC

 

Copyright 2021 VMware Inc. All rights reserved.