ヴイエムウェア製品の深刻な脆弱性、CISAが早急なパッチ適用促す

今回は「ヴイエムウェア製品の深刻な脆弱性、CISAが早急なパッチ適用促す」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 米サイバーセキュリティインフラセキュリティ庁(CISA)は、VMwareが新たに公開した重大な脆弱性の影響を受ける製品に、直ちにパッチを適用するか、削除するよう警告している。

 CISAによると、パッチを適用できなければ削除するというこの極端な措置は、VMwareの深刻な脆弱性のアップデートが公開されて48時間以内に悪用された最近のケースに基づいている。

 VMwareは米国時間5月18日、「VMware Workspace ONE Access」「VMware Identity Manager」「VMware vRealize Automation」「VMware Cloud Foundation」「vRealize Suite Lifecycle Manager」に影響するセキュリティの脆弱性が複数あることを明らかにした。

 これらの脆弱性は「CVE-2022-22972」「CVE-2022-22973」とされている。前者は認証を回避する脆弱性で、深刻度スコアは10点満点中の「9.8」、後者は権限昇格の恐れがある脆弱性で、スコアは「7.8」となっている。

 VMwareはアドバイザリーで、CVE-2022-22972について、管理ユーザーインターフェースへのネットワークアクセスを持つ攻撃者は、認証なしで管理者アクセスを取得できる恐れがあると警告している。

 同社は、提供しているパッチを直ちに適用するよう促しており、別のブログ記事でも「この脆弱性が与える影響は深刻だ」と述べている。

 CISAは米国の連邦民間行政機関に対し、直ちにパッチを適用するか、アップデートを適用可能になるまで、影響を受けるソフトウェアをネットワークから削除するように指示した。これはVMwareが4月に、同じ製品の2件の脆弱性(「CVE-2022-22954」「CVE-2022-22960」)を公開するやいなや、攻撃者が広範にわたって悪用したことに基づいている。

 同社は4月にパッチをリリースしたが、攻撃者は即座にパッチのリバースエンジニアリングを行い、それらを組み合わせるなどして悪用した。

 CISAは、「悪意のあるサイバーアクターは、48時間以内にベンダーのアップデートをリバースエンジニアリングしてエクスプロイトを開発し、パッチが適用されていないデバイスに存在するこれらの明らかにされた脆弱性を素早く悪用し始めた」と説明している。

 「こうした活動から、CISAは悪意のあるサイバー攻撃者が、VMwareが2022年5月18日に公開したCVE-2022-22972とCVE-2022-22973を、悪用できる機能を開発できると予想している」(CISA)

 セキュリティ企業のRapid7は、VMwareがパッチを公開してから6日後の4月12日に、脆弱性が広く活発に悪用されていることを発見した。その後間もなく、複数の公開された概念実証エクスプロイトが脆弱なシステムへのコインマイナーのインストールに利用されたという。攻撃者は、CVE-2022-22954(VMware Workspace ONE AccessとIdentity Managerに影響を与えるサーバーサイドテンプレートインジェクションの問題)とCVE-2022-22960(ローカル権限昇格の問題)を組み合わせて、root権限に昇格させたという。

 そのためCISAは、この最新のVMwareの脆弱性に関しても、連邦民間機関に対する「許容しがたいリスクがある」として、パッチ適用を指示する緊急指令を発行した。

 「CISAは、脅威アクターが、同じように影響を受けたVMWare製品でこれらの新たに公開された脆弱性を悪用する機能を素早く開発すると予想する。これらの脆弱性が悪用されると、攻撃者はリモートコード実行が可能になる恐れのあるサーバーサイドテンプレートインジェクションを起動したり(CVE-2022-22954)、root権限に昇格したり(CVE-2022-22960およびCVE-2022-22973)、認証なしで管理者アクセスを取得したり(CVE-2022-22972)できる恐れがある」(CISA)

 他国のサイバーセキュリティ当局は、VMwareの最新の脆弱性について警告を発していない。しかしCISAは、脆弱性なシステムがインターネットからアクセス可能であれば、すべての組織は速やかにパッチを適用することを推奨している。また、VMwareも影響を受ける一部製品の緩和策を公開している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
マイクロソフト「Visual Studio 2022」、初のプレビュー版–64ビット化
IT関連
2021-06-18 11:23
NTT東、地域密着型DXコンサル企業を設立–中小企業の相談先に
IT関連
2022-01-26 10:35
Yazawa Ventures、女性起業家向けインキュベーションプログラム「アントレジェネレーター」採択企業発表
IT関連
2022-01-19 00:01
遠隔医療のK Healthが約137億円調達、バーチャル保育サービスに進出
ヘルステック
2021-01-21 11:05
クリップで机に固定できる電源タップ、エレコムが発売 「テレワークにも」
くらテク
2021-07-21 22:06
シフトワーカーやギグワーカーを管理するプラットフォームSirenumが2.8億円シリーズAを調達
HRテック
2021-01-31 09:18
諜報機関のAI利用、その有効性と倫理の議論–英GCHQの取り組みにみる
IT関連
2021-03-10 10:37
東京都がデジタル人材を募集 高校生含む3人の非常勤職員で採用サイトを内製化
DX
2021-06-17 21:27
ニオイを可視化する「小型ニオイセンサー」のアロマビットが3億円調達、高度化技術開発と量産化加速
ハードウェア
2021-02-10 09:02
暗号資産「$ASS」についてツイートしてはいけない
ブロックチェーン
2021-05-22 21:07
無料「コーヒー診断」で好みのコーヒー豆を届けるサブスク「PostCoffee」運営元が1.5億円を調達
フードテック
2021-07-14 18:23
NASA火星探査機「Perseverance」の重要ミッション、AWSがデータ処理など支援
IT関連
2021-02-25 04:09
新たな形態のLinuxマルウェアが見つかる–検出は「ほぼ不可能」
IT関連
2022-06-11 04:37
Vリーグ機構、NECと共同で「競技情報のAR表示」の実証実験
IT関連
2021-04-15 16:30