• ひとことでSolarWinds Virtualization Manager の sudo の設定ミスで権限を奪われる弱点
  • 深刻度7.8 重要CVSS v3.1
  • まずやることVirtualization Manager を使っているか調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2016-3643
製品SolarWinds Virtualization Manager
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-264

何が起きた

仮想環境を管理する SolarWinds Virtualization Manager で、sudo（管理者の権限で命令を動かす仕組み）の設定に誤りがあり、利用者が本来持たない強い権限を得られる弱点が見つかりました。NVD の評価では、対象の機器上で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が一般の利用者として機器に入る → 2. 誤った sudo の設定を使う → 3. 管理者の権限で命令を動かす1攻撃者が一般の利用者として機器に入る2誤った sudo の設定を使う3管理者の権限で命令を動かす攻撃の流れ: 1. 攻撃者が一般の利用者として機器に入る → 2. 誤った sudo の設定を使う → 3. 管理者の権限で命令を動かす1攻撃者が一般の利用者として機器に入る2誤った sudo の設定を使う3管理者の権限で命令を動かす攻撃の流れ: 1. 攻撃者が一般の利用者として機器に入る → 2. 誤った sudo の設定を使う → 3. 管理者の権限で命令を動かす1攻撃者が一般の利用者として機器に入る2誤った sudo の設定を使う3管理者の権限で命令を動かす

誰が影響を受ける

NVD の説明では、SolarWinds Virtualization Manager の 6.3.1 以前の版が対象です。修正された版の番号は、このデータからは不明です。

何をすればいい

SolarWinds Virtualization Manager の版が 6.3.1 以前かどうか確認し、SolarWinds の公式の案内に従って更新してください。

やることチェックリスト

  • Virtualization Manager を使っているか調べる
  • 版が 6.3.1 以前かを確かめる
  • メーカーの案内に従って更新を当てる

用語メモ

sudo
Linux などで、一般の利用者が管理者の権限で命令を動かすための仕組みです。
権限 用語集で見る
システムの中で、どんな操作をしてよいかの決まりです。強い権限ほど多くの操作ができます。

次に読む

同じ製品・メーカーの脆弱性SolarWinds Serv-U（CVE-2026-28318）7.5 重要CVSS v3.1SolarWinds Serv-Uで、細工したPOSTの要求により、ログインせずにサービスを止められる弱点です。同じ製品・メーカーの脆弱性SolarWinds Web Help Desk（CVE-2025-26399）9.8 緊急CVSS v3.1SolarWinds Web Help Deskで、外から命令を実行されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SolarWinds Virtualization Manager Privilege Escalation Vulnerability

概要

SolarWinds Virtualization Manager allows for privilege escalation through leveraging a misconfiguration of sudo.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る