VMSA-2019-0006:VMware ESXi、Workstation、Fusionの更新プログラムは、複数の領域外読み取りの脆弱性に対処します。

medium Nessus プラグイン ID 124192

概要

リモートのVMware ESXiホストに1つ以上のセキュリティ関連のパッチがありません。

説明

a. VMware ESXi、Workstation、Fusionの頂点シェーダーの領域外読み取りの脆弱性:VMware ESXi、Workstation、Fusionの更新プログラムは、頂点シェーダー機能の領域外読み取りの脆弱性に対処します。この問題を悪用するには、攻撃者は3Dグラフィックが有効になっている仮想マシンにアクセスできる必要があります。この問題の悪用に成功すると、情報漏えいを引き起こしたり、通常のユーザー権限を持つ攻撃者が自分のVM上でサービス拒否状態を引き起こしたりする可能性があります。この問題の回避策には、3Dアクセラレーション機能を無効にする方法などがあります。ESXiではこの機能はデフォルトで有効になっておらず、WorkstationおよびFusionではデフォルトで有効になっています。VMwareは、この問題を報告してくれたCisco TalosのPiotr Bania氏に感謝の意を表します。Common Vulnerabilities and Exposuresプロジェクト(cve.mitre.org)により、この問題に識別子CVE-2019-5516が割り当てられています。b.VMware ESXi、Workstation、Fusionの複数のシェーダートランスレーターの領域外読み取りの脆弱性:VMware ESXi、Workstation、Fusionのシェーダートランスレーターに、複数の領域外読み取りの脆弱性があります。これらの問題を悪用するには、攻撃者は3Dグラフィックスが有効になっている仮想マシンにアクセスできる必要があります。これらの問題の悪用に成功すると、情報漏えいを引き起こしたり、通常のユーザー権限を持つ攻撃者が自分のVM上でサービス拒否状態を引き起こしたりする可能性があります。これらの問題の回避策には、3Dアクセラレーション機能を無効にする方法などがあります。ESXiではこの機能はデフォルトで有効になっておらず、WorkstationおよびFusionではデフォルトで有効になっています。VMwareは、これらの問題を報告してくれたTencent Security ZhanluLabのRanchoIce氏に感謝の意を表します。Common Vulnerabilities and Exposuresプロジェクト(cve.mitre.org)により、この問題に識別子CVE-2019-5517が割り当てられています。c. VMware ESXi、Workstation、Fusionの領域外読み取りの脆弱性:VMware ESXi、Workstation、Fusionの更新プログラムは、領域外読み取りの脆弱性に対処します。この問題を悪用するには、攻撃者は3Dグラフィックが有効になっている仮想マシンにアクセスできる必要があります。この問題の悪用に成功すると、情報漏えいを引き起こされる能性があります。この問題の回避策には、3Dアクセラレーション機能を無効にする方法などがあります。ESXiではこの機能はデフォルトで有効になっておらず、WorkstationおよびFusionではデフォルトで有効になっています。VMwareは、この問題を報告してくれたTrend MicroのZero Day Initiativeに参加しているインストラクターに感謝の意を表します。Common Vulnerabilities and Exposuresプロジェクト(cve.mitre.org)により、この問題に識別子CVE-2019-5520が割り当てられています。

ソリューション

欠落しているパッチを適用してください。

関連情報

http://lists.vmware.com/pipermail/security-announce/2019/000455.html

プラグインの詳細

深刻度: Medium

ID: 124192

ファイル名: vmware_VMSA-2019-0006.nasl

バージョン: 1.2

タイプ: local

公開日: 2019/4/19

更新日: 2020/1/23

リスク情報

VPR

リスクファクター: Medium

スコア: 5.2

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.3

ベクトル: AV:N/AC:M/Au:N/C:P/I:N/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5.9

ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:vmware:esxi:6.5, cpe:/o:vmware:esxi:6.7

必要な KB アイテム: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2019/4/11

脆弱性公開日: 2019/4/15

参照情報

CVE: CVE-2019-5516, CVE-2019-5517, CVE-2019-5520

VMSA: 2019-0006