ITよろづや

ITの参考になる情報を備忘録代わりに残していきます

VMware vRealize Operations 認証なしにAPIへアクセスが可能となる脆弱性 CVE-2021-22025

VMware vRealize Operations 認証なしにAPIへアクセスが可能となる脆弱性 CVE-2021-22025に対するパッチの提供が開始されました。

 

情報元はこちら。

VMSA-2021-0018

 

日本語翻訳です。

 

アドバイザリID:VMSA-2021-0018
CVSSv3範囲:4.4-8.6
発行日:2021-08-24
更新日:2021-08-24(初期アドバイザリ)
CVE:CVE-2021-22022、CVE-2021-22023、CVE-2021-22024、CVE-2021-22025、CVE-2021-22026、CVE-2021-22027
あらすじ:VMware vRealize Operationsのアップデートは、複数のセキュリティの脆弱性(CVE-2021-22022、CVE-2021-22023、CVE-2021-22024、CVE-2021-22025、CVE-2021-22026、CVE-2021-22027)に対応​​しています。

 

1.影響を受ける製品
VMware vRealize Operations
VMware Cloud Foundation
vRealizeSuiteライフサイクルマネージャー

 

2.はじめに
VMware vRealize Operationsの複数の脆弱性は、VMwareに非公開で報告されました。影響を受けるVMware製品のこれらの脆弱性に対処するためのパッチと回避策が利用可能です。 

 

 

3a。vRealize Operations Manager API(CVE-2021-22022)の任意のファイル読み取りの脆弱性


説明

vRealize Operations Manager APIには、任意のファイル読み取りの脆弱性が含まれています。VMwareは、この問題の重大度が 中程度の重大度の範囲にある と評価し、最大CVSSv3基本スコアは 4.4です。

既知の攻撃ベクトル

vRealize Operations Manager APIへの管理アクセス権を持つ悪意のある攻撃者は、サーバー上の任意のファイルを読み取って情報を開示する可能性があります。

解像度 

CVE-2021-22022を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされているパッチを適用します。

回避策 なし。

追加のドキュメント

一般的なクエリを文書化するためのFAQが作成されました。これは、以下の「応答マトリックス」の「追加の文書」列にリストされています。

ノート

なし。

謝辞 VMwareは、この脆弱性を報告してくれたPositiveTechnologiesのEgorDimitrenkoに感謝します。

 

 

3b。vRealize Operations Manager API(CVE-2021-22023)の安全でない直接オブジェクト参照の脆弱性


説明

vRealize Operations Manager APIには、安全でないオブジェクト参照の脆弱性があります。VMwareは、この問題の重大度が 中程度の重大度の範囲にある と評価し、最大CVSSv3基本スコアは 6.6です。
既知の攻撃ベクトル

vRealize Operations Manager APIへの管理アクセス権を持つ悪意のある攻撃者が、他のユーザー情報を変更してアカウントの乗っ取りにつながる可能性があります。
解像度

CVE-2021-22023を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされているパッチを適用します。
回避策

なし。

追加のドキュメント

一般的なクエリを文書化するためのFAQが作成されました。これは、以下の「応答マトリックス」の「追加の文書」列にリストされています。

ノート

なし。

謝辞

VMwareは、この脆弱性を報告してくれたPositiveTechnologiesのEgorDimitrenkoに感謝します。

 

3c。vRealize Operations Manager API(CVE-2021-22024)の任意のログファイル読み取りの脆弱性

 

説明

vRealize Operations Manager APIには、任意のログファイル読み取りの脆弱性が含まれています。VMwareは、この問題の重大度が 重要な重大度の範囲にある と評価し、最大CVSSv3基本スコアは 7.5です。
既知の攻撃ベクトル

vRealize Operations Manager APIへのネットワークアクセスを持つ認証されていない悪意のあるアクターは、任意のログファイルを読み取る可能性があり、機密情報が開示されます。
解像度

CVE-2021-22024を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされているパッチを適用します。
回避策 なし。

追加のドキュメント

一般的なクエリを文書化するためのFAQが作成されました。これは、以下の「応答マトリックス」の「追加の文書」列にリストされています。

 

謝辞 VMwareは、この脆弱性を報告してくれたMoyunSecV-Labのthiscodeccに感謝します。

 

3D。vRealize Operations Manager API(CVE-2021-22025)の壊れたアクセス制御の脆弱性
説明

vRealize Operations Manager APIには、認証されていないAPIアクセスにつながる壊れたアクセス制御の脆弱性が含まれています。VMwareは、この問題の重大度が 重要な重大度の範囲にある と評価し、最大CVSSv3基本スコアは 8.6です。
既知の攻撃ベクトル

vRealize Operations Manager APIへのネットワークアクセスを持つ認証されていない悪意のあるアクターは、既存のvROpsクラスターに新しいノードを追加する可能性があります。
解像度

CVE-2021-22025を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされているパッチを適用します。
回避策

なし。

追加のドキュメント

一般的なクエリを文書化するためのFAQが作成されました。これは、以下の「応答マトリックス」の「追加の文書」列にリストされています。

ノート

なし。

謝辞

VMwareは、この脆弱性を報告してくれたMoyunSecV-Labのthiscodeccに感謝します。

 

3e。vRealize Operations Manager API(CVE-2021-22026、CVE-2021-22027)でのサーバー側リクエストの偽造

 

説明

vRealize Operations Manager APIには、複数のエンドポイントにサーバー側のリクエスト偽造が含まれています。VMwareは、この問題の重大度が 重要な重大度の範囲にある と評価し、最大CVSSv3基本スコアは 7.5です。
既知の攻撃ベクトル

vRealize Operations Manager APIへのネットワークアクセスを持つ認証されていない悪意のあるアクターは、サーバー側のリクエスト偽造攻撃を実行して情報開示につながる可能性があります。
解像度

CVE-2021-22026およびCVE-2021-22027を修正するには、以下の「応答マトリックス」の「修正バージョン」列にリストされている更新を、影響を受けるデプロイメントに適用します。
回避策

なし。

追加のドキュメント

一般的なクエリを文書化するためのFAQが作成されました。これは、以下の「応答マトリックス」の「追加の文書」列にリストされています。

ノート

なし。

謝辞

VMwareは、この脆弱性を報告してくれたMoyunSecV-Labのthiscodeccに感謝します。

 

セキュリティのためのログ分析入門 サイバー攻撃の痕跡を見つける技術 (Software Design plusシリーズ)