VMSA-2016-0023:VMware ESXiの更新プログラムはクロスサイトスクリプティングの問題に対処します

medium Nessus プラグイン ID 96084

概要

リモートの VMware ESXiホストにセキュリティ関連のパッチがありません。

説明

a. Host Clientの格納型クロスサイトスクリプティングの問題:ESXi Host Clientには、格納型クロスサイトスクリプティング(XSS)を可能にする脆弱性が含まれています。この問題は、ESXi Host Clientを介して仮想マシンの管理権限を持つ攻撃者によって、または特別に細工されたVMをインポートするようにvSphere管理者を誘導することによって、導入される可能性があります。この問題は、特別に細工されたVMを管理するためにESXi Host Clientが使用されているシステムでトリガーされる可能性があります。VMwareは、信頼できないソースからVMをインポートしないことをお勧めします。VMwareは、この問題を報告してくれたCaleb Watt氏(@ calebwatt15)に感謝の意を表します。Common Vulnerabilities and Exposuresプロジェクト(cve.mitre.org)により、この問題に識別子CVE-2016-7463が割り当てられています。

ソリューション

欠落しているパッチを適用してください。

関連情報

http://lists.vmware.com/pipermail/security-announce/2016/000361.html

プラグインの詳細

深刻度: Medium

ID: 96084

ファイル名: vmware_VMSA-2016-0023.nasl

バージョン: 3.8

タイプ: local

公開日: 2016/12/22

更新日: 2021/1/6

リスク情報

VPR

リスクファクター: Low

スコア: 3

CVSS v2

リスクファクター: Low

Base Score: 3.5

Temporal Score: 2.6

ベクトル: AV:N/AC:M/Au:S/C:N/I:P/A:N

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Medium

Base Score: 5.4

Temporal Score: 4.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:vmware:esxi:5.5, cpe:/o:vmware:esxi:6.0

必要な KB アイテム: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2016/12/20

参照情報

CVE: CVE-2016-7463

VMSA: 2016-0023