• ひとことでVMware vRealize Operations Manager の API で、管理者の認証情報を盗まれる弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやることvRealize Operations Manager の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-21975
製品VMware vRealize Operations Manager API
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2022-01-18
米国政府機関の対応期限2022-02-01
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-918（サーバーサイドリクエストフォージェリ（SSRF））

何が起きた

VMware vRealize Operations Manager の API に、サーバーに意図しない通信をさせられる弱点（SSRF）が見つかりました。VMware によると、この API にネットワークで接続できる攻撃者が、この弱点を使って管理者の認証情報を盗めるおそれがあります。CISA によると、この弱点は実際の攻撃に悪用されており、ランサムウェアの攻撃にも使われたことが分かっています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が API にネットワークで接続する → 2. 細工した要求でサーバーに通信させる → 3. 管理者の認証情報を盗む1攻撃者が API にネットワークで接続する2細工した要求でサーバーに通信させる3管理者の認証情報を盗む攻撃の流れ: 1. 攻撃者が API にネットワークで接続する → 2. 細工した要求でサーバーに通信させる → 3. 管理者の認証情報を盗む1攻撃者が API にネットワークで接続する2細工した要求でサーバーに通信させる3管理者の認証情報を盗む攻撃の流れ: 1. 攻撃者が API にネットワークで接続する → 2. 細工した要求でサーバーに通信させる → 3. 管理者の認証情報を盗む1攻撃者が API にネットワークで接続する2細工した要求でサーバーに通信させる3管理者の認証情報を盗む

誰が影響を受ける

VMware vRealize Operations Manager を使っている組織が対象です。データでは 8.4 より前が影響を受けるとされています。VMware の勧告 VMSA-2021-0004 では、8.3.0、8.2.0、8.1.1、8.1.0、8.0.1、8.0.0、7.5.0、7.0.0、6.7.0 などが対象として挙げられています。

何をすればいい

VMware の公式の案内（VMSA-2021-0004）を確認し、使っているバージョンに合ったパッチを当ててください。たとえば 8.3.0 は KB85382、8.2.0 は KB85381、7.5.0 は KB85378 です。すぐにパッチを当てられない場合は、勧告にある回避策（8.3.0 は KB83210 など）を行ってください。7.0.0 と 6.7.0 にはパッチの予定がなく、回避策（KB83287）が案内されています。

やることチェックリスト

  • vRealize Operations Manager の版を確かめる
  • 版に合ったパッチを当てる
  • すぐ当てられなければ回避策を行う

用語メモ

SSRF 用語集で見る
攻撃者がサーバーをだまして、サーバー自身から別の場所へ通信させる攻撃です。
API 用語集で見る
プログラム同士がやり取りするための窓口です。
認証情報 用語集で見る
ログインに使う ID やパスワードなど、本人であることを示す情報です。
ランサムウェア 用語集で見る
データを暗号化するなどして使えなくし、元に戻す代わりに金銭を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性VMware ESXi, Workstation, and Fusion（CVE-2025-22226）6.0 警告CVSS v3.1VMware の仮想化製品で、ホスト側のメモリの中身が漏れるおそれがある弱点です。同じ製品・メーカーの脆弱性VMware ESXi（CVE-2025-22225）8.2 重要CVSS v3.1VMware ESXi で、仮想マシンを閉じ込める仕組みから抜け出されるおそれがある弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

VMware Server Side Request Forgery in vRealize Operations Manager API

概要

Server Side Request Forgery (SSRF) in vRealize Operations Manager API prior to 8.4 may allow a malicious actor with network access to the vRealize Operations Manager API to perform a SSRF attack to steal administrative credentials.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る