CVE-2022-22960とは？VMware の複数の製品の脆弱性をわかりやすく解説

ひとことでVMware の認証管理製品に、サポート用スクリプトの設定不備で root 権限を取られる弱点があります。
深刻度7.8 重要CVSS v3.1
まずやることKB88099 の修正パッチを当てる

基本情報（データから表示）

CVE番号	CVE-2022-22960
製品	VMware Multiple Products
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-04-15
米国政府機関の対応期限	2022-05-06
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-250（必要以上の権限での実行）

何が起きた

VMware Workspace ONE Access、Identity Manager、vRealize Automation で、サポート用のスクリプトの権限設定が不適切なため、権限を引き上げられる弱点が見つかりました。対象の機器に入れる攻撃者は、最も強い管理者権限である root を手に入れられます。VMware と CISA は、この弱点が実際の攻撃に悪用されたことを確認しています。攻撃者は、対象の機器上で一般利用者程度の権限があれば悪用でき、被害者の操作は必要ありません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Workspace ONE Access の 21.08.0.1、21.08.0.0、20.10.0.1、20.10.0.0、Identity Manager の 3.3.6、3.3.5、3.3.4、3.3.3、vRealize Automation の 7.6 が影響を受けます。VMware の勧告の表では、これらを組み込んだ VMware Cloud Foundation の 4.x と 3.x、vRealize Suite Lifecycle Manager の 8.x も対象に挙げられています。

何をすればいい

VMware の勧告 VMSA-2022-0011 の表に従って、修正パッチ（KB88099）を当ててください。すぐに当てられない場合の回避策は KB88098 に書かれています。詳しくは VMware の公式の案内を確認してください。

やることチェックリスト

KB88099 の修正パッチを当てる
すぐ直せないときは KB88098 の回避策をとる
製品と版番号を VMSA-2022-0011 の表と照らす

用語メモ

root 用語集で見る: Linux などで、すべての操作ができる最も強い管理者の権限のことです。
パッチ用語集で見る: ソフトの不具合や弱点を直すための修正プログラムです。
回避策用語集で見る: 修正をすぐ当てられないときに、被害を防ぐための一時的な対処のことです。

次に読む

同じ製品・メーカーの脆弱性VMware の複数の製品（CVE-2020-4006）9.1 緊急CVSS v3.1VMware Workspace ONE Access などの管理用の画面で、命令を差し込める弱点です。同じ製品・メーカーの脆弱性VMware の複数の製品（CVE-2020-3950）7.8 重要CVSS v3.1Mac 用の VMware Fusion などで、一般の利用者が最高の権限を得られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

VMware Multiple Products Privilege Escalation Vulnerability

概要

VMware Workspace ONE Access, Identity Manager and vRealize Automation contain a privilege escalation vulnerability due to improper permissions in support scripts.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

VMware の複数の製品の権限昇格の脆弱性（CVE-2022-22960）