VMware ESXi の認証回避の脆弱性（CVE-2024-37085）

何が起きた

仮想化の基盤である VMware ESXi に、ログインの確認を回避できる弱点が見つかりました。利用者の管理に Active Directory を使う設定の ESXi で、設定されたグループが削除されたあと、十分な権限を持つ攻撃者がそのグループを作り直すと、ESXi を完全に操作できるようになります。グループの初期設定の名前は、メーカーの記事 KB369707 では ESX Admins、CISA と NVD の説明では ESXi Admins と書かれています。ネットワーク経由で、Active Directory で高い権限を持つ攻撃者が悪用できます。この弱点は実際の攻撃で悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

利用者の管理に Active Directory を使うよう設定した VMware ESXi を使っている組織です。メーカーの情報では、ESXi 8.0 と ESXi 7.0、VMware Cloud Foundation 5.x と 4.x が対象です。

何をすればいい

ESXi 8.0 は修正版の ESXi80U3-24022510（ESXi 8.0 U3）に、VMware Cloud Foundation 5.x は 5.2 に更新してください。ESXi 7.0 と VMware Cloud Foundation 4.x は修正の予定がないため、メーカーの記事 KB369707 にある回避策として、ESXi の詳細設定を変更してください。回避策を入れる前にすでに Active Directory に参加していた ESXi は、あわせて ESX Admins グループに付いた管理権限を外してください。詳しくは VMware（Broadcom）の公式の案内 VMSA-2024-0013 を確認してください。

やることチェックリスト

• ESXi 8.0 を ESXi80U3-24022510 に更新する
• ESXi 7.0 は KB369707 の設定変更を行う
• AD参加済みなら ESX Admins の管理権限を外す

用語メモ

Active Directory

組織の利用者やパソコンを、まとめて管理するための Microsoft の仕組みです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する悪意のあるプログラムです。

回避策

修正版を入れられないときに、設定の変更などで攻撃を受けにくくする一時的な対策です。