The VMware vCenter Server installed on the remote host is version 5.0 prior to Update 3c, 5.1 prior to Update 3, or 5.5 prior to Update 2.
It is, therefore, affected by multiple vulnerabilities in third party libraries :

  - Due to improper certificate validation when connecting     to a CIM server on an ESXi host, an attacker can     perform man-in-the-middle attacks. (CVE-2014-8371)

  - The bundled version of Oracle JRE is prior to 1.6.0_81     and thus is affected by multiple vulnerabilities. Note     that this only affects version 5.1 and 5.0 of vCenter     but is only fixed in 5.1 Update 3.

a. VMware vCSA のクロスサイトスクリプティングの脆弱性

VMware vCenter Server Appliance（vCSA）に脆弱性があり、クロスサイトスクリプティングが引き起こされる可能性があります。vCenter Server でこの脆弱性を悪用するには、ユーザーを騙して、悪意のあるリンクをクリックさせるか、悪意のある Web ページを開かせる必要があります。

VMware は、この問題を報告してくれた Trustwave SpiderLabs の Tanya Secker 氏に感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2014-3797 の識別名を割り当てています。

b. vCenter Server の証明書検証の問題

vCenter Server は、ESXi ホストにある CIM Server への接続を確立するときに、提示される証明書を適切に処理しません。これにより、CIM サービスに対して中間者攻撃が行われる可能性があります。

VMware は、この問題を弊社に報告してくれた Google セキュリティチームに感謝の意を表します。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、この問題に識別子 CVE-2014-8371 が割り当てられています。

c. ESXi libxml2 パッケージへ更新してください

複数のセキュリティ問題に対処するために、libxml2 が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2013-2877 と CVE-2014-0191 を割り当てました。

d. ESXi Curl パッケージへ更新してください

複数のセキュリティ問題に対処するために、Curl が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2014-0015 と CVE-2014-0138 を割り当てました。

e. ESXi Python パッケージへ更新してください。

複数のセキュリティ問題に対処するために、Python が更新されました。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2013-1752 と CVE-2013-4238 を割り当てました。

f. vCenter および Update Manager、Oracle JRE 1.6 Update 81

Oracle は、2014 年 7 月の Oracle Java SE 重要度最高パッチ更新アドバイザリの JRE 1.6.0 Update 81 で対処されている CVE 識別子について文書化しました。「参照」セクションに、このアドバイザリへのリンクが提供されています。

a. VMware vCSA cross-site scripting vulnerability

   VMware vCenter Server Appliance (vCSA) contains a vulnerability    that may allow for Cross Site Scripting. Exploitation of this    vulnerability in vCenter Server requires tricking a user to click    on a malicious link or to open a malicious web page. 

   VMware would like to thank Tanya Secker of Trustwave SpiderLabs for    reporting this issue to us. 

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the name CVE-2014-3797 to this issue. 

b. vCenter Server certificate validation issue

   vCenter Server does not properly validate the presented certificate    when establishing a connection to a CIM Server residing on an ESXi    host. This may allow for a Man-in-the-middle attack against the CIM    service.

   VMware would like to thank The Google Security Team for reporting    this issue to us.

   The Common Vulnerabilities and Exposures project (cve.mitre.org)    has assigned the identifier CVE-2014-8371 to this issue. 

  c. Update to ESXi libxml2 package

  libxml2 is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2013-2877 and   CVE-2014-0191 to these issues. 

  d. Update to ESXi Curl package

  Curl is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2014-0015 and   CVE-2014-0138 to these issues. 

  e. Update to ESXi Python package

  Python is updated to address multiple security issues. 

  The Common Vulnerabilities and Exposures project   (cve.mitre.org) has assigned the names CVE-2013-1752 and   CVE-2013-4238 to these issues. 

  f. vCenter and Update Manager, Oracle JRE 1.6 Update 81

  Oracle has documented the CVE identifiers that are addressed in   JRE 1.6.0 update 81 in the Oracle Java SE Critical Patch Update   Advisory of July 2014. The References section provides a link to   this advisory.

リモートホストにインストールされている VMware vCenter サーバーは、バージョン 5.0 の Update 3c より前、5.1 の Update 3 より前、または 5.5 の Update 2 より前です。
このため、サードパーティライブラリで以下の複数の脆弱性の影響を受けます。

- ESXi ホスト上の CIM サーバーに接続する時の不適切な証明書検証により、攻撃者による中間者攻撃の実行を可能にします。（CVE-2014-8371）

- Oracle JRE のバンドルされたバージョンは、1.6.0_81 より前のため、複数の脆弱性の影響を受けます。注意：これは vCenter の 5.1 および 5.0 にのみ影響を与えますが、5.1 Update 3 でのみ修正されています。

a. VMware vCSA 跨站脚本漏洞

VMware vCenter Server Appliance (vCSA) 包含可能允许跨站脚本的漏洞。利用 vCenter Server 中的此漏洞需要诱骗用户点击恶意链接或打开恶意网页。

VMware 在此感谢 Trustwave SpiderLabs 的 Tanya Secker 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-3797。

b. vCenter Server 证书验证问题

vCenter Server 在与 ESXi 主机上驻留的 CIM Server 建立连接时未正确验证所提供的证书。这可允许针对 CIM 服务的中间人攻击。

VMware 在此感谢 Google 安全团队向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配标识符 CVE-2014-8371。

c. ESXi libxml2 程序包的更新

libxml2 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-2877 和 CVE-2014-0191。

d. ESXi Curl 程序包的更新

Curl 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2014-0015 和 CVE-2014-0138。

e. ESXi Python 程序包的更新

Python 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-1752 和 CVE-2013-4238。

f. vCenter 和 Update Manager，Oracle JRE 1.6 Update 81

Oracle 在 2014 年 7 月的 Oracle Java SE 关键修补程序更新公告中记载了 JRE 1.6.0 update 81 中已解决的 CVE 标识符。“参考”部分提供了此公告的链接。

a. VMware vCSA 跨網站指令碼弱點

VMware vCenter Server Appliance (vCSA) 中包含一個可允許跨網站指令碼的弱點。在 vCenter Server 中惡意利用此弱點需要誘騙使用者按一下惡意連結或開啟惡意網頁。

VMware 要感謝 Trustwave SpiderLabs 的 Tanya Secker 向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2014-3797 指派給此問題。

b. vCenter Server 憑證驗證問題

當建立與 ESXi 主機上的 CIM Server 之間的連線時，vCenter Server 未正確驗證呈現的憑證。這可允許對 CIM 服務發動攔截式攻擊。

VMware 要感謝 Google 安全性團隊向我們報告此問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將識別碼 CVE-2014-8371 指派給此問題。

c. ESXi libxml2 套件的更新

libxml2 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2013-2877 及 CVE-2014-0191。

d. ESXi Curl 套件的更新

Curl 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2014-0015 及 CVE-2014-0138。

e. ESXi Python 套件的更新

Python 已更新，可解決多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2013-1752 及 CVE-2013-4238。

f. vCenter 和 Update Manager、Oracle JRE 1.6 Update 81

Oracle 在 2014 年 7 月 Oracle Java SE 重要修補程式更新公告中記錄已在 JRE 1.6.0 Update 81 中解決的 CVE 識別碼。「參照」一節提供了此公告的連結。

远程主机上安装的 VMware vCenter 版本是未应用 Update 3c 的 5.0、未应用 Update 3 的 5.1 或未应用 Update 2 的 5.5。
因此，它受到第三方库中库中多种漏洞的影响：

- 由于连接到 ESXi 主机上的 CIM 服务器时未正确验证证书，攻击者可执行中间人攻击。(CVE-2014-8371)

- Oracle JRE 的捆绑版本低于 1.6.0_81，因此受到多种漏洞影响。请注意，这仅影响 vCenter 的 5.1 和 5.0 版，但仅在 5.1 Update 3 中修复。

遠端主機上安裝的 VMware vCenter Server 版本是 Update 3c 之前的 5.0、 Update 3 之前的5.1 或 Update 2 之前的 5.5。
因此，受到第三方程式庫中多個弱點影響：

- 連線至　ESXi　主機上的　CIM 伺服器時，由於不當驗證憑證，進而讓攻擊者得以執行攔截式攻擊。(CVE-2014-8371)

- 隨附的 Oracle JRE 版本比 1.6.0_81 舊，因此受到多個弱點影響。請注意，雖然只會影響　vCenter　5.1 和 5.0 版，但僅在　5.1 Update 3　中得以修正。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
79865	VMware Security Updates for vCenter Server (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2018/11/15	critical
79762	VMSA-2014-0012：VMware vSphere 製品の更新で、セキュリティの脆弱性が対処されています	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79762	VMSA-2014-0012 : VMware vSphere product updates address security vulnerabilities	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79865	vCenter サーバー用の VMware セキュリティ更新（VMSA-2014-0012）	Nessus	Misc.	2014/12/12	2018/11/15	critical
79762	VMSA-2014-0012：VMware vSphere 产品更新解决了安全漏洞	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79762	VMSA-2014-0012：VMware vSphere 產品更新可解決安全性弱點	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
79865	适用于 vCenter Server 的 VMware 安全更新 (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2018/11/15	critical
79865	適用 vCenter Server 的 VMware 安全性更新 (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2018/11/15	critical

検出

プラグインの検索

critical

medium

medium

critical

medium

medium

critical

critical