VMSA-2014-0006：VMware 製品の更新により、OpenSSL のセキュリティの脆弱性に対処します
high Nessus プラグイン ID 74465
Language:
概要
リモート VMware ESXi ホストに、１つ以上のセキュリティ関連のパッチがありません。説明
a. 複数の製品に対する OpenSSL の更新。OpenSSL ライブラリが、複数のセキュリティ問題を解決するために、複数の製品でバージョン 0.9.8za と 1.0.1h に更新されました。
Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、これらの問題に CVE-2014-0224、CVE-2014-0198、CVE-2010-5298、CVE-2014-3470、CVE-2014-0221、CVE-2014-0195 という名前が割り当てられています。これらの問題の中で最も重要なものは、CVE-2014-0224 です。
CVE-2014-0198、CVE-2010-5298 および CVE-2014-3470 は重要度中だと見なされました。アプリケーションの構成から見て、この問題が悪用されることは考えられにくく、あったとしても緩和されます。
OpenSSL セキュリティアドバイザリ（以下の参照セクションを参照してください）に一覧表示されている CVE-2014-0221 および CVE-2014-0195 は、VMware 製品に影響を与えません。
サーバーが OpenSSL 1.0.1 の脆弱なバージョンを実行していて、クライアントが OpenSSL 0.9.8 または 1.0.1 の脆弱なバージョンを実行している場合は、CVE-2014-0224 により中間者攻撃が引き起こされる可能性があります。サーバーを更新すると、サーバーと影響を受けるクライアントの両方で問題が緩和されます。
CVE-2014-0224 の製品に対する影響は、製品がクライアントまたはサーバーのどちらとして機能しているか、製品がどのバージョンの OpenSSL を使用しているかにより異なります。影響を受ける製品の可読性は、下記の 3 つのテーブルに分割されます。これは、異なるクライアントサーバー構成と展開シナリオをベースとしています。
緩和策
パッチが適用されたサーバーまたは脆弱でないサーバーと通信するクライアントは CVE-2014-0224 に対して脆弱ではありません。影響を受けるサーバーにこれらのパッチを適用すると、影響を受けるクライアントの問題が緩和されます（以下のテーブル 1 を参照してください）。
公衆 Wi-Fi など信頼できないネットワークで通信を行い、OpenSSL 1.0.1 の脆弱なバージョンを実行しているサーバーと通信を行うクライアントは、VPN など安全なネットワークを使用することにより問題を緩和することができます（以下のテーブル 2 を参照してください）。
分離されたネットワークに配備されているクライアントとサーバーは、CVE-2014-0224 の問題にあまりさらされていません（以下のテーブル 3 を参照してください）。影響を受ける製品は通常、管理ネットワークで通信をするために配備されます。
推奨
VMware は、以下のテーブル 1 の影響を受けるサーバーに対するパッチが利用可能になった際にそれらを評価し、配備することを顧客に推奨します。これらのサーバーにパッチを適用すると、クライアントとサーバーの両方で CVE-2014-0224 で説明されている脆弱性を悪用できなくなります。
VMware は、テーブル 2 と 3 に一覧表示されている製品に対して必要に応じてパッチを適用することを検討するように顧客に推奨します。
次のテーブルの列 4 には、解決方法が利用可能である場合に、各リリースの脆弱性を修正するのに必要なアクションが一覧表示されています。
Table 1 ======= OpenSSL 1.0.1 の脆弱なバージョンを実行している影響を受けるサーバー。
ソリューション
欠落しているパッチを適用してください。参考資料
http://lists.vmware.com/pipermail/security-announce/2014/000276.html
プラグインの詳細
深刻度: High
ID: 74465
ファイル名: vmware_VMSA-2014-0006.nasl
バージョン: 1.46
タイプ: local
公開日: 2014/6/11
更新日: 2021/1/6
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.7
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 4.8
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS v3
リスクファクター: High
基本値: 7.4
現状値: 6.9
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:vmware:esxi:5.0, cpe:/o:vmware:esxi:5.1, cpe:/o:vmware:esxi:5.5
必要な KB アイテム: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/6/10
脆弱性公開日: 2014/4/14
エクスプロイト可能
Core Impact
参照情報
CVE: CVE-2010-5298, CVE-2014-0198, CVE-2014-0224, CVE-2014-3470
BID: 67899
VMSA: 2014-0006