VMSA-2014-0010：VMware 製品の更新は、重大な Bash セキュリティ脆弱性に対処します（Shellshock）
critical Nessus プラグイン ID 78025
Language:
概要
リモートの VMware ESX ホストにセキュリティ関連のパッチがありません。説明
a. 複数の製品に対する Bash 更新。Bash ライブラリは複数の製品において更新されており、Shellshock とも呼ばれる複数の重大なセキュリティ問題を解決します。
Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、これらの問題に以下の識別子が割り当てられています：CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277、CVE-2014-6278。
Vmware 製品は次の 4 つの製品カテゴリにグループ分けされています：
I) ESXi および ESX Hypervisor ESXi は影響を受けません。これは、ESXi は、Bash シェルに関して報告された脆弱性の影響を受けない Ash シェルを（busybox を通じて）使用するためです。
ESX に、影響を受けるバージョンの Bash シェルがあります。ESX の修正については、表 1 を参照してください。
II) Windows ベースの製品 Windows 上で実行される vCenter Server の全バージョンを含む Windows ベースの製品は影響を受けません。
III) VMware（仮想）アプライアンス VMware（仮想）アプライアンスには、影響を受けるバージョンの Bash と共に出荷されます。アプライアンスの修正については、表 2 を参照してください。
IV) Linux、Android、OSX、または iOS 上で実行する製品（仮想アプライアンスを除く）
Linux、Android、OSX、または iOS（仮想アプライアンスを除く）上で実行する製品は、オペレーティングシステムの一部である Bash シェルを使用する可能性があります。オペレーティングシステムが脆弱なバージョンの Bash を使用している場合、製品を通じて Bash のセキュリティ脆弱性が悪用される可能性があります。VMware では、パッチについて、オペレーティングシステムのベンダーに問い合わせをすることをお客様に推奨しています。緩和策
Vmware は、ファイアウォールのルール、およびその他ネットワークレイヤーコントロールを通じて、アプライアンスへのアクセスを、信頼できる IP アドレスのみに制限することを推奨します。これにより、これらのアプライアンスへのリスクは大幅に軽減します。
推奨
VMware では、下記の表 1 および表 2 に記載された影響を受ける製品を評価し、これらのパッチが利用可能になり次第、パッチを適用することをお客様に推奨しています。
いくつかの製品に関しては、パッチおよび製品更新の両方が利用可能です。
一般的には、パッチが利用可能になった場合、そのパッチは最新バージョンのアプライアンスに適用する必要があります。
お客様は、セクション 4 に記載された製品のナレッジベース記事を参照し、利用可能な修正のタイプ、および適用されるアプライアンスのバージョン番号を理解する必要があります。
次のテーブルの列 4 には、解決方法が利用可能である場合に、各リリースの脆弱性を修正するのに必要なアクションが一覧表示されています。
表 1 - ESXi および ESX ハイパーバイザー=================================
ソリューション
欠落しているパッチを適用してください。参考資料
http://lists.vmware.com/pipermail/security-announce/2014/000278.html
プラグインの詳細
深刻度: Critical
ID: 78025
ファイル名: vmware_VMSA-2014-0010.nasl
バージョン: 1.38
タイプ: local
公開日: 2014/10/2
更新日: 2022/12/5
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.4
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:vmware:esx:4.0, cpe:/o:vmware:esx:4.1
必要な KB アイテム: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/9/30
脆弱性公開日: 2014/9/24
CISA の既知の悪用された脆弱性の期限日: 2022/7/28
エクスプロイト可能
Core Impact
Metasploit (CUPS Filter Bash Environment Variable Code Injection (Shellshock))
参照情報
CVE: CVE-2014-6271, CVE-2014-6277, CVE-2014-6278, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187
BID: 70165, 70166, 70137, 70152, 70154, 70103
IAVA: 2014-A-0142
VMSA: 2014-0010