VMSA-2014-0001：VMware Workstation、Player、Fusion、ESXi、ESX および vCloud Director ではいくつかのセキュリティ問題が対処されています

medium Nessus プラグイン ID 72006

Language:

概要

リモートの VMware ESXi / ESX ホストにセキュリティ関連のパッチがありません。

説明

a. VMware ESXi および ESX NFC の NULL ポインターデリファレンス

Network File Copy（NFC）トラフィックの処理において、VMware ESXi および ESX に NULL ポインターデリファレンスが存在します。この脆弱性を悪用するには、攻撃者は、ESXi/ESX とクライアントの間の NFC トラフィックを傍受し、改ざんする必要があります。問題を悪用することで、サービス拒否を引き起こす可能性があります。

類似の悪用を削減するために、vSphere コンポーネントは孤立した管理ネットワークに展開するべきです。
VMware は Context Information Security の Alex Chapman 氏がこの問題を報告していることに感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2014-1207 の識別名を割り当てています。

b. VMware VMX プロセスのサービス拒否の脆弱性

無効なポートの処理に欠陥があるため、VMX プロセスが失敗する可能性があります。この脆弱性により、ゲストユーザーが VMX プロセスに影響を与える可能性があり、その結果、ホストで部分的なサービス拒否が発生する可能性があります。

VMware は、この問題を報告してくれた Recurity Labs GmbH および Bundesamt Sicherheit in der Informationstechnik（BSI）に感謝の意を表します

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2014-1208 の識別名を割り当てています。

c. VMware vCloud Director のクロスサイトリクエスト偽造（CSRF）

VMware vCloud Director には、Hyper Text Transfer Protocol（http）のセッション管理に脆弱性が存在します。攻撃者が認証されているユーザーを騙して、悪意のあるリンクをクリックさせる可能性があります。これにより、ユーザーがログアウトされます。ユーザーはすぐにシステムにログインし直すことができます。

VMware は、この問題を報告してくれた Mattia Folador 氏に感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2014-1211 の識別名を割り当てています。