VMware製品の脆弱性（VMSA-2021-0002）について - 器用貧乏、仮想化をあつかう

今回は、

「VMware製品の脆弱性（VMSA-2021-0002）について」

というタイトルでお送りします。

すでに公開されてから数時間経っておりますが、

・vCenterのプラグインにアクセスしてリモートコードが実行できる脆弱性、
・ESXiのOpenSLPサービスでヒープオーバーフローからリモートコードが実行できる脆弱性

・vCenterにSSRF（Server Side Request Forgery）を仕掛けることができる脆弱性
この3点が公開されています。

脆弱性の深刻度としてCVSSv3（Common Vulnerability Scoring System v3.0）スコアは順番に9.8、8.8、5.3で、1個目はクリティカルに設定されています。

VMware社からはすでにFixedバージョンが提供されてますので、

そちらにアップデートが必要です。

ソースはこちら

回避策も公開されていますが、

vCenterはvROpsのPluginを無効化

ESXiはCIMを無効化

弊害としては、Opsで情報が表示できなくなる。。

まぁ、当たり前ですね。

うーん、Ops使ってなければ、まずは回避策を実装しましょう。

ご参考まで。

手順なども後ほど整理して追記するかもしれません。