米コンピュータ緊急事態対策チーム（US-CERT: United States Computer Emergency Readiness Team）は11月11日(米国時間)、「VMware Releases Security Advisory｜CISA」において、VMware社が提供している「vCenter Server」に脆弱性が発見され、同社がセキュリティアドバイザリをリリースしたと伝えた。この脆弱性を悪用されると、攻撃者によって対象システムの管理者権限が奪われる危険性があるという。
VMwareによるセキュリティアドバイザリは次のページで公開されている。
-
VMSA-2021-0025
今回報告されているのはvCenter ServerのIWA（統合Windows認証）認証メカニズムにおける特権昇格の脆弱性（CVE-2021-22048）で、非管理アクセス権を持つ攻撃者によって悪用されると、より高い権限のグループに昇格される可能性があるという。影響を受ける製品およびサービスは次のとおりとなっている。
- VMware vCenter Server
- VMware Cloud Foundation
2021年12月12日時点で、この脆弱性に関する修正バージョンはリリースされていない。VMwareからは、回避策としてSSO（Single Sign-On）のIDソース構成をIWAから「Active Directory over LDAPs authentication」または「Identity Provider Federation for AD FS」に変更する方法が提示されている。修正バージョンがリリースされた場合には再度告知するとのことだ。詳細は次のページを参照のこと。
