• ひとことでVMware ESXi で、Active Directory のグループを作り直すと管理権限を奪える弱点があります
  • 深刻度7.2 重要CVSS v3.1
  • まずやることESXi 8.0 を ESXi80U3-24022510 に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-37085
製品VMware ESXi
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2024-07-30
米国政府機関の対応期限2024-08-20
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-305（根本の弱点による認証の回避）

何が起きた

仮想化の基盤である VMware ESXi に、ログインの確認を回避できる弱点が見つかりました。利用者の管理に Active Directory を使う設定の ESXi で、設定されたグループが削除されたあと、十分な権限を持つ攻撃者がそのグループを作り直すと、ESXi を完全に操作できるようになります。グループの初期設定の名前は、メーカーの記事 KB369707 では ESX Admins、CISA と NVD の説明では ESXi Admins と書かれています。ネットワーク経由で、Active Directory で高い権限を持つ攻撃者が悪用できます。この弱点は実際の攻撃で悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. ESXi が Active Directory で利用者を管理している → 2. 設定されたグループが削除される → 3. 攻撃者が同じ名前のグループを作り直す → 4. ESXi を完全に操作できるようになる1ESXi が Active Directory で利用者を管理している2設定されたグループが削除される3攻撃者が同じ名前のグループを作り直す4ESXi を完全に操作できるようになる攻撃の流れ: 1. ESXi が Active Directory で利用者を管理している → 2. 設定されたグループが削除される → 3. 攻撃者が同じ名前のグループを作り直す → 4. ESXi を完全に操作できるようになる1ESXi が Active Directory で利用者を管理している2設定されたグループが削除される3攻撃者が同じ名前のグループを作り直す4ESXi を完全に操作できるようになる攻撃の流れ: 1. ESXi が Active Directory で利用者を管理している → 2. 設定されたグループが削除される → 3. 攻撃者が同じ名前のグループを作り直す → 4. ESXi を完全に操作できるようになる1ESXi が Active Directory で利用者を管理している2設定されたグループが削除される3攻撃者が同じ名前のグループを作り直す4ESXi を完全に操作できるようになる

誰が影響を受ける

利用者の管理に Active Directory を使うよう設定した VMware ESXi を使っている組織です。メーカーの情報では、ESXi 8.0 と ESXi 7.0、VMware Cloud Foundation 5.x と 4.x が対象です。

何をすればいい

ESXi 8.0 は修正版の ESXi80U3-24022510（ESXi 8.0 U3）に、VMware Cloud Foundation 5.x は 5.2 に更新してください。ESXi 7.0 と VMware Cloud Foundation 4.x は修正の予定がないため、メーカーの記事 KB369707 にある回避策として、ESXi の詳細設定を変更してください。回避策を入れる前にすでに Active Directory に参加していた ESXi は、あわせて ESX Admins グループに付いた管理権限を外してください。詳しくは VMware（Broadcom）の公式の案内 VMSA-2024-0013 を確認してください。

やることチェックリスト

  • ESXi 8.0 を ESXi80U3-24022510 に更新する
  • ESXi 7.0 は KB369707 の設定変更を行う
  • AD参加済みなら ESX Admins の管理権限を外す

用語メモ

Active Directory 用語集で見る
組織の利用者やパソコンを、まとめて管理するための Microsoft の仕組みです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻す代わりに身代金を要求する悪意のあるプログラムです。
回避策 用語集で見る
修正版を入れられないときに、設定の変更などで攻撃を受けにくくする一時的な対策です。

次に読む

同じ製品・メーカーの脆弱性VMware ESXi（CVE-2025-22225）8.2 重要CVSS v3.1VMware ESXi で、仮想マシンを閉じ込める仕組みから抜け出されるおそれがある弱点です。同じ製品・メーカーの脆弱性VMware ESXi（CVE-2020-3992）9.8 緊急CVSS v3.1VMware ESXi の OpenSLP で、離れた場所から命令を実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

VMware ESXi Authentication Bypass Vulnerability

概要

VMware ESXi contains an authentication bypass vulnerability. A malicious actor with sufficient Active Directory (AD) permissions can gain full access to an ESXi host that was previously configured to use AD for user management by re-creating the configured AD group ('ESXi Admins' by default) after it was deleted from AD.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る