Last Updated on 2024-06-25 09:39 by 門倉 朋宏
VMwareは、WorkstationおよびFusion製品における複数の重大なセキュリティ脆弱性を修正しました。これらの脆弱性は、悪意のあるアクターが機密情報にアクセスしたり、サービス拒否(DoS)状態を引き起こしたり、特定の条件下でコードを実行したりすることを可能にするものです。影響を受けるのは、Workstationのバージョン17.xおよびFusionのバージョン13.xで、それぞれバージョン17.5.2および13.5.2で修正が提供されています。Broadcomが所有する仮想化サービスプロバイダーがこの情報を公開しました。
脆弱性の概要は以下の通りです。
– CVE-2024-22267 (CVSSスコア: 9.3)：Bluetoothデバイスにおける使用後解放の脆弱性。仮想マシン上でローカル管理者権限を持つ悪意のあるアクターが、ホスト上で実行されている仮想マシンのVMXプロセスとしてコードを実行することを可能にします。
– CVE-2024-22268 (CVSSスコア: 7.1)：Shader機能におけるヒープバッファオーバーフローの脆弱性。3Dグラフィックスが有効になっている仮想マシンに非管理者アクセス権を持つ悪意のあるアクターがDoS状態を引き起こすことを可能にします。
– CVE-2024-22269 (CVSSスコア: 7.1)：Bluetoothデバイスにおける情報漏洩の脆弱性。仮想マシン上でローカル管理者権限を持つ悪意のあるアクターが、仮想マシンからハイパーバイザーメモリに含まれる機密情報を読み取ることを可能にします。
– CVE-2024-22270 (CVSSスコア: 7.1)：ホストゲストファイル共有(HGFS)機能における情報漏洩の脆弱性。仮想マシン上でローカル管理者権限を持つ悪意のあるアクターが、仮想マシンからハイパーバイザーメモリに含まれる機密情報を読み取ることを可能にします。
パッチが適用されるまでの暫定的な対策として、仮想マシンのBluetoothサポートをオフにし、3Dアクセラレーション機能を無効にすることが推奨されます。CVE-2024-22270に対する緩和策は、最新バージョンへの更新以外にはありません。CVE-2024-22267、CVE-2024-22269、およびCVE-2024-22270は、今年3月にバンクーバーで開催されたPwn2OwnハッキングコンテストでSTAR Labs SGとTheoriによって初めて実演されました。
【ニュース解説】
VMwareが、同社のWorkstationおよびFusion製品における複数の重大なセキュリティ脆弱性に対するパッチをリリースしました。これらの脆弱性は、悪意のあるアクターが機密情報にアクセスしたり、サービス拒否(DoS)状態を引き起こしたり、特定の条件下でコードを実行したりする可能性があるとされています。影響を受けるのは、Workstationのバージョン17.xおよびFusionのバージョン13.xで、それぞれバージョン17.5.2および13.5.2で修正が提供されています。
これらの脆弱性は、仮想化技術を利用する企業や個人にとって重要なセキュリティ上のリスクを示しています。仮想化技術は、物理的なハードウェアリソースを複数の仮想マシンで共有し、それぞれを独立したコンピュータとして動作させることを可能にします。この技術は、リソースの効率的な利用、開発環境の迅速な構築、異なるオペレーティングシステムの同時実行など、多くの利点を提供します。しかし、仮想化環境特有のセキュリティ脆弱性が存在し、これらを悪用されると、仮想マシン間での情報漏洩や不正なコード実行など、深刻なセキュリティインシデントにつながる可能性があります。
今回発見された脆弱性の中には、仮想マシンのBluetoothデバイスや3Dグラフィックス機能、ホストゲストファイル共有機能に関連するものが含まれています。これらの脆弱性を悪用されると、攻撃者は仮想マシンからホストシステムに影響を及ぼすことが可能になり、機密情報の漏洩やシステムの不安定化を引き起こす恐れがあります。
VMwareによる迅速なパッチリリースは、これらのリスクを軽減するための重要なステップですが、ユーザー側でもセキュリティアップデートの適用や、推奨される暫定的な対策の実施が求められます。特に、仮想化環境を利用する企業では、セキュリティポリシーの見直しや従業員への教育を通じて、セキュリティ意識の向上を図ることが重要です。
長期的な視点では、仮想化技術のセキュリティは、技術の進化と共に新たな脅威が登場するため、継続的な監視と対策の更新が必要です。また、このような脆弱性が発見された際の情報共有や、セキュリティコミュニティとの協力も、より安全な仮想化環境を実現するためには不可欠です。
from VMware Patches Severe Security Flaws in Workstation and Fusion Products.
