VMware vRealize Operations 脆弱性CVE-2021-21975 CVE-2021-21983が発見されており、リモート攻撃されるおそれがあるようで、スコアも高いので早めに対応したほうがいいかもしれません。
情報元はこちら
【セキュリティ ニュース】「VMware vRealize Operations」に深刻な脆弱性 - アップデートが公開（1ページ目 / 全1ページ）：Security NEXT
VMwareの「VMware vRealize Operations」などに複数の脆弱性が含まれていることがわかった。組み合わせて悪用することでシステムの制御を奪われるおそれがあるとのことです。
以下は情報の抜粋です。
「VMware vRealize Operations」「VMware Cloud Foundation」「vRealize Suite Lifecycle Manager」が影響を受ける2件の脆弱性が明らかとなったもの。非公開で報告を受けたという。
「CVE-2021-21975」は「サーバサイドリクエストフォージェリ（SSRF）」の脆弱性で、ネットワーク経由で「vRealize Operations Manager API」へアクセスできるユーザーにより、管理者の資格情報を窃取されるおそれがある。
さらに認証された攻撃者により、同APIによってPhoton OSの任意の場所にファイルを書き込むことができる「CVE-2021-21983」が明らかとなった。
共通脆弱性評価システム「CVSSv3.0」のベーススコアは「CVE-2021-21975」が「8.6」、「CVE-2021-21983」が「7.2」といずれも単独では「9」以下だが、これら脆弱性を組み合わせた場合を考慮し、同社は重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。～
公式情報はこちら
https://www.vmware.com/security/advisories/VMSA-2021-0004.html
1.影響を受ける製品
VMware vRealize Operations
VMware Cloud Foundation
vRealizeSuiteライフサイクルマネージャー
3a。vRealize Operations Manager APIでのサーバー側リクエストの偽造（CVE-2021-21975）
説明
vRealize Operations Manager APIには、サーバー側のリクエスト偽造が含まれています。VMwareは、この問題を「重要」な重大度であり、最大CVSSv3基本スコアが8.6であると評価しました。
既知の攻撃ベクトル
vRealize Operations Manager APIへのネットワークアクセスを持つ悪意のある攻撃者は、サーバー側のリクエストフォージェリ攻撃を実行して管理者の資格情報を盗む可能性があります。
解決
CVE-2021-21975を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされている更新を、影響を受けるデプロイメントに適用します。
回避策
CVE-2021-21975の回避策は、以下の「応答マトリックス」の「回避策」列に記載されています。
追加のドキュメント
以下の「応答マトリックス」の「追加ドキュメント」列にリストされているFAQが作成されました。
謝辞
VMwareは、この脆弱性を報告してくれたPositiveTechnologiesのEgorDimitrenkoに感謝します。
3b。vRealize Operations Manager APIの任意のファイル書き込みの脆弱性（CVE-2021-21983）
説明
vRealize Operations Manager APIには、任意のファイル書き込みの脆弱性が含まれています。VMwareは、この問題を「重要」な重大度であり、最大CVSSv3基本スコアが7.2であると評価しました。
既知の攻撃ベクトル
vRealize Operations Manager APIへのネットワークアクセスを持つ認証済みの悪意のあるアクターは、基盤となるフォトンオペレーティングシステムの任意の場所にファイルを書き込むことができます。
解決
CVE-2021-21983を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされている更新を影響を受けるデプロイメントに適用します。
回避策
CVE-2021-21983の回避策は、以下の「応答マトリックス」の「回避策」列に記載されています。
追加のドキュメント
以下の「応答マトリックス」の「追加ドキュメント」列にリストされているFAQが作成されました。
謝辞
VMwareは、この脆弱性を報告してくれたPositiveTechnologiesのEgorDimitrenkoに感謝します。
ノート
無し。
 |
|
折り畳み傘カバー 超吸水 傘ケース 2面吸水 梅雨対策 折り畳み傘袋 マイクロファイバー 軽量 携帯便利 34cm以内傘入れ可能 (ブラック, 38cm) |
