VMware vSphere Client の複数の脆弱性(VMSA-2014-0006)

medium Nessus プラグイン ID 76355

概要

リモートホストにインストールされている仮想化クライアントアプリケーションは、複数の脆弱性の影響を受けます。

説明

リモート Windows ホストにインストールされている vSphere Client のバージョンは、OpenSSL ライブラリで次の脆弱性の影響を受けます:

- 関数「ssl3_read_bytes」にエラーがあり、これにより、他のセッションにデータを注入できることや、サービス拒否攻撃をできることがあります。この問題を悪用できるのは、「SSL_MODE_RELEASE_BUFFERS」が有効な場合のみであることに、注意してください。(CVE-2010-5298)

- 関数「do_ssl3_write」にエラーが存在するため、NULL ポインターが逆参照され、サービス拒否攻撃が実行される可能性があります。この問題が悪用可能なのは、「SSL_MODE_RELEASE_BUFFERS」が有効な場合のみであることに、注意してください。(CVE-2014-0198)

- 未特定のエラーがあることにより、攻撃者が、弱い鍵素材を使用させることで、中間者攻撃を簡略化できることがあります。
(CVE-2014-0224)

- 匿名の ECDH 暗号化パッケージに関連する未特定のエラーがあることにより、サービス拒否攻撃をできることがあります。この問題の影響を受けるのは、OpenSSL TLS クライアントのみであることに、注意してください。(CVE-2014-3470)

ソリューション

vSphere Client を 5.0 Update 3a/5.1 Update 2a/5.5 Update 1b 以降にアップグレードしてください。

関連情報

http://www.vmware.com/security/advisories/VMSA-2014-0006.html

https://www.openssl.org/news/secadv/20140605.txt

プラグインの詳細

深刻度: Medium

ID: 76355

ファイル名: vsphere_client_vmsa_2014-0006.nasl

バージョン: 1.11

タイプ: local

エージェント: windows

ファミリー: Windows

公開日: 2014/7/3

更新日: 2019/11/26

サポートされているセンサー: Nessus Agent

リスク情報

CVSS スコアのソース: CVE-2014-0224

VPR

リスクファクター: High

スコア: 7.7

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.8

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:N

現状ベクトル: E:F/RL:OF/RC:C

脆弱性情報

CPE: cpe:/a:vmware:vsphere_client

必要な KB アイテム: SMB/VMware vSphere Client/Installed

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2014/6/12

脆弱性公開日: 2014/6/12

エクスプロイト可能

Core Impact

参照情報

CVE: CVE-2010-5298, CVE-2014-0198, CVE-2014-0224, CVE-2014-3470

BID: 66801, 67193, 67898, 67899

CERT: 978508

VMSA: 2014-0006