VMSA-2014-0010:VMware 製品の更新は、重大な Bash セキュリティ脆弱性に対処します(Shellshock)

critical Nessus プラグイン ID 78025

概要

リモートの VMware ESX ホストにセキュリティ関連のパッチがありません。

説明

a. 複数の製品に対する Bash 更新。

Bash ライブラリは複数の製品において更新されており、Shellshock とも呼ばれる複数の重大なセキュリティ問題を解決します。
Common Vulnerabilities and Exposures プロジェクト(cve.mitre.org)により、これらの問題に以下の識別子が割り当てられています:CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277、CVE-2014-6278。

Vmware 製品は次の 4 つの製品カテゴリにグループ分けされています:
I) ESXi および ESX Hypervisor ESXi は影響を受けません。これは、ESXi は、Bash シェルに関して報告された脆弱性の影響を受けない Ash シェルを(busybox を通じて)使用するためです。
ESX に、影響を受けるバージョンの Bash シェルがあります。ESX の修正については、表 1 を参照してください。
II) Windows ベースの製品 Windows 上で実行される vCenter Server の全バージョンを含む Windows ベースの製品は影響を受けません。

III) VMware(仮想)アプライアンス VMware(仮想)アプライアンスには、影響を受けるバージョンの Bash と共に出荷されます。アプライアンスの修正については、表 2 を参照してください。
IV) Linux、Android、OSX、または iOS 上で実行する製品(仮想アプライアンスを除く)

Linux、Android、OSX、または iOS(仮想アプライアンスを除く)上で実行する製品は、オペレーティングシステムの一部である Bash シェルを使用する可能性があります。オペレーティングシステムが脆弱なバージョンの Bash を使用している場合、製品を通じて Bash のセキュリティ脆弱性が悪用される可能性があります。VMware では、パッチについて、オペレーティングシステムのベンダーに問い合わせをすることをお客様に推奨しています。緩和策

Vmware は、ファイアウォールのルール、およびその他ネットワークレイヤーコントロールを通じて、アプライアンスへのアクセスを、信頼できる IP アドレスのみに制限することを推奨します。これにより、これらのアプライアンスへのリスクは大幅に軽減します。

推奨

VMware では、下記の表 1 および表 2 に記載された影響を受ける製品を評価し、これらのパッチが利用可能になり次第、パッチを適用することをお客様に推奨しています。

いくつかの製品に関しては、パッチおよび製品更新の両方が利用可能です。
一般的には、パッチが利用可能になった場合、そのパッチは最新バージョンのアプライアンスに適用する必要があります。

お客様は、セクション 4 に記載された製品のナレッジベース記事を参照し、利用可能な修正のタイプ、および適用されるアプライアンスのバージョン番号を理解する必要があります。

次のテーブルの列 4 には、解決方法が利用可能である場合に、各リリースの脆弱性を修正するのに必要なアクションが一覧表示されています。

表 1 - ESXi および ESX ハイパーバイザー=================================

ソリューション

欠落しているパッチを適用してください。

関連情報

http://lists.vmware.com/pipermail/security-announce/2014/000278.html

プラグインの詳細

深刻度: Critical

ID: 78025

ファイル名: vmware_VMSA-2014-0010.nasl

バージョン: 1.37

タイプ: local

公開日: 2014/10/2

更新日: 2022/1/31

リスク情報

VPR

リスクファクター: Critical

スコア: 9.8

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 8.7

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:H/RL:OF/RC:C

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 9.4

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:H/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:vmware:esx:4.0, cpe:/o:vmware:esx:4.1

必要な KB アイテム: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2014/9/30

脆弱性公開日: 2014/9/24

CISAの既知の悪用日: 2022/7/28

エクスプロイト可能

Core Impact

Metasploit (CUPS Filter Bash Environment Variable Code Injection (Shellshock))

参照情報

CVE: CVE-2014-6271, CVE-2014-6277, CVE-2014-6278, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187

BID: 70103, 70137, 70152, 70154, 70165, 70166

VMSA: 2014-0010

IAVA: 2014-A-0142