ヴイエムウェア製品の深刻な脆弱性、CISAが早急なパッチ適用促す

今回は「ヴイエムウェア製品の深刻な脆弱性、CISAが早急なパッチ適用促す」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 米サイバーセキュリティインフラセキュリティ庁(CISA)は、VMwareが新たに公開した重大な脆弱性の影響を受ける製品に、直ちにパッチを適用するか、削除するよう警告している。

 CISAによると、パッチを適用できなければ削除するというこの極端な措置は、VMwareの深刻な脆弱性のアップデートが公開されて48時間以内に悪用された最近のケースに基づいている。

 VMwareは米国時間5月18日、「VMware Workspace ONE Access」「VMware Identity Manager」「VMware vRealize Automation」「VMware Cloud Foundation」「vRealize Suite Lifecycle Manager」に影響するセキュリティの脆弱性が複数あることを明らかにした。

 これらの脆弱性は「CVE-2022-22972」「CVE-2022-22973」とされている。前者は認証を回避する脆弱性で、深刻度スコアは10点満点中の「9.8」、後者は権限昇格の恐れがある脆弱性で、スコアは「7.8」となっている。

 VMwareはアドバイザリーで、CVE-2022-22972について、管理ユーザーインターフェースへのネットワークアクセスを持つ攻撃者は、認証なしで管理者アクセスを取得できる恐れがあると警告している。

 同社は、提供しているパッチを直ちに適用するよう促しており、別のブログ記事でも「この脆弱性が与える影響は深刻だ」と述べている。

 CISAは米国の連邦民間行政機関に対し、直ちにパッチを適用するか、アップデートを適用可能になるまで、影響を受けるソフトウェアをネットワークから削除するように指示した。これはVMwareが4月に、同じ製品の2件の脆弱性(「CVE-2022-22954」「CVE-2022-22960」)を公開するやいなや、攻撃者が広範にわたって悪用したことに基づいている。

 同社は4月にパッチをリリースしたが、攻撃者は即座にパッチのリバースエンジニアリングを行い、それらを組み合わせるなどして悪用した。

 CISAは、「悪意のあるサイバーアクターは、48時間以内にベンダーのアップデートをリバースエンジニアリングしてエクスプロイトを開発し、パッチが適用されていないデバイスに存在するこれらの明らかにされた脆弱性を素早く悪用し始めた」と説明している。

 「こうした活動から、CISAは悪意のあるサイバー攻撃者が、VMwareが2022年5月18日に公開したCVE-2022-22972とCVE-2022-22973を、悪用できる機能を開発できると予想している」(CISA)

 セキュリティ企業のRapid7は、VMwareがパッチを公開してから6日後の4月12日に、脆弱性が広く活発に悪用されていることを発見した。その後間もなく、複数の公開された概念実証エクスプロイトが脆弱なシステムへのコインマイナーのインストールに利用されたという。攻撃者は、CVE-2022-22954(VMware Workspace ONE AccessとIdentity Managerに影響を与えるサーバーサイドテンプレートインジェクションの問題)とCVE-2022-22960(ローカル権限昇格の問題)を組み合わせて、root権限に昇格させたという。

 そのためCISAは、この最新のVMwareの脆弱性に関しても、連邦民間機関に対する「許容しがたいリスクがある」として、パッチ適用を指示する緊急指令を発行した。

 「CISAは、脅威アクターが、同じように影響を受けたVMWare製品でこれらの新たに公開された脆弱性を悪用する機能を素早く開発すると予想する。これらの脆弱性が悪用されると、攻撃者はリモートコード実行が可能になる恐れのあるサーバーサイドテンプレートインジェクションを起動したり(CVE-2022-22954)、root権限に昇格したり(CVE-2022-22960およびCVE-2022-22973)、認証なしで管理者アクセスを取得したり(CVE-2022-22972)できる恐れがある」(CISA)

 他国のサイバーセキュリティ当局は、VMwareの最新の脆弱性について警告を発していない。しかしCISAは、脆弱性なシステムがインターネットからアクセス可能であれば、すべての組織は速やかにパッチを適用することを推奨している。また、VMwareも影響を受ける一部製品の緩和策を公開している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
クラウドキッチンで次世代のレストランフランチャイズを作る台湾のJustKitchen
IT関連
2021-01-25 03:34
老舗Christie’s初のNFTオークション、デジタルアートが約75億円で落札
ブロックチェーン導入事例
2021-03-13 15:46
理解ではなく「受容」していく–青山学院大学・エリック学部長に聞く、DE&IとZ世代
IT関連
2023-04-14 00:51
NRI、顧客体験の提供能力を診断する新サービス–競合の顧客にも聞き取り
IT関連
2022-07-15 19:49
ServiceNowのマクダーモットCEOに聞く、生成AIの戦略や日本のビジネス
IT関連
2024-05-15 11:37
ウイングアーク1st、「invoiceAgent 電子取引」提供–取引文書の配信から保管を一括運用
IT関連
2022-06-22 16:52
Box、「Box Hubs」の一般提供を開始–企業のコンテンツ活用をAIで加速
IT関連
2024-09-29 20:16
NEC森田社長は2023年に向けて「最も改善したい点」について何を語ったか
IT関連
2022-12-10 13:55
神戸大学やCTCなどが、メタバースを活用した実験体験のデジタルツインを共同開発
IT関連
2024-05-29 16:09
三菱電機、製品の品質向上で開発者向けセキュリティ基盤の「Snyk」を導入
IT関連
2024-04-18 10:30
米司法省、闇サイト「Silk Road」から盗まれた4900億円相当のビットコインを押収
IT関連
2022-11-09 02:19
「シン・エヴァ」興収82.8億円、「シン・ゴジラ」超える
くらテク
2021-05-07 08:54
数字だけで語れない、エディオンがクラウド化で得た2つの成果
IT関連
2023-04-21 15:22
DX目的で増える「第三者保守」の利用–リミニストリートのラビンCEO
IT関連
2022-06-03 19:47