VMware ESXi のuse-after-freeの脆弱性（CVE-2020-3992）

何が起きた

VMware ESXi に含まれる OpenSLP というサービスに、使い終わったメモリをまた使ってしまう、解放後使用（use-after-free）の弱点が見つかりました。管理用のネットワークの中にいて、ESXi のポート 427 に接続できる攻撃者が、離れた場所から命令を実行（リモートコード実行）できるおそれがあります。NVD の評価では、ログインや利用者の操作なしに悪用できます。CISA は実際に悪用されたことを確認しており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

VMware ESXi 7.0、6.7、6.5 と、ESXi を含む VMware Cloud Foundation 4.x、3.x を使っている組織が対象です。VMware によると、2020年10月20日に出た ESXi の修正ではこの弱点が完全には直っておらず、後から出た更新版に完全な修正が入っています。

何をすればいい

VMware のセキュリティ情報（VMSA-2020-0023）に従い、ESXi 7.0 は ESXi70U1a-17119627、6.7 は ESXi670-202011301-SG、6.5 は ESXi650-202011401-SG を当ててください。VMware Cloud Foundation は 4.1.0.1 または 3.10.1.2 に更新してください。すぐに当てられない場合は KB76372 の回避策を行い、メーカーの公式の案内も確認してください。

やることチェックリスト

• ESXi を ESXi70U1a-17119627 などの修正版にする
• 10月20日版の修正で止めず、更新版を当てる
• すぐ当てられなければ KB76372 の回避策を行う

用語メモ

解放後使用（use-after-free）

使い終わって返したメモリを、プログラムが誤ってまた使ってしまう不具合です。攻撃者の命令を動かされる原因になります。

リモートコード実行

離れた場所にいる攻撃者が、ネットワーク越しに対象の機械で好きな命令を動かせてしまうことです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する悪質なプログラムです。

回避策

修正を当てるまでの間、設定の変更などで弱点を突かれにくくする一時的な対策です。