ロシアのハッカーがヴイエムウェア製品の脆弱性を悪用--NSAが警告

　米国家安全保障局（NSA）は米国時間12月7日、VMwareの製品に存在する脆弱性が「ロシア政府の支援を受けた悪質なサイバー攻撃グループ」によって悪用されていることから、同社の製品をアップデートするよう促すセキュリティアラートを公表した。

　この脆弱性（CVE-2020-4006）の影響を受けるのはVMwareのエンドポイント管理製品やID管理製品で、これらの製品は企業や政府のネットワークでよく利用されている。

　影響を受ける製品は以下の通りだ。これらの製品は、大量の仮想ワークステーションやそれらのワークステーションの認証手続き、各仮想マシン（VM）にインストールされているアプリの管理に使用されている。

• Linux上にインストールされたVMware Workspace ONE Access（Access）20.01/20.10
• VMware Workspace ONE Access Connector（Access Connector）
• Linux上にインストールされたVMware Identity Manager（vIDM）3.3.1/3.3.2/3.3.3.3
• VMware Identity Manager Connector（vIDMConnector）3.3.1/3.3.2/3.3.3/19.03
• VMware Cloud Foundation 4.x
• vRealize Suite Lifecycle Manager 8.x

　VMWareは11月23日、顧客に対してこれらの製品に重大なセキュリティホールが存在することを警告し、攻撃を防ぐための緩和策や回避策を知らせるアドバイザリーを公開している。

　また同社は、12月4日に公式パッチをリリースし、今回の問題を報告したのがNSAのアナリストであることを明らかにした。

　NSAはまた、米国の特定の政府機関に対して、ロシアのハッカーからの攻撃が続いていることから、VMwareの製品にパッチを適用するよう促す個別のセキュリティアラートを発表している。

CVE-2020-4006の詳細

　CVE-2020-4006の中核部分は基本的な「コマンドインジェクション」の脆弱性で、攻撃者がOSレベルのコマンドを実行できる可能性があるというものだ。

　この脆弱性を悪用するには、攻撃者が「WMware Workspace ONE」で使用されているウェブベースのダッシュボードで認証される必要があるため、危険度はそれほど致命的なものではない。

　しかし、攻撃者が有効な認証情報を持っている場合、この脆弱性を利用して、パッチが適用されていないVMware Workspace ONEのシステムを乗っ取ることができる。

提供：NSA

　通常、VMWare Workspace ONEのダッシュボードは、システム管理者が仮想ワークステーションの設定を管理するのに使用されている。

　このダッシュボードは組織内ネットワークの内部からしかアクセスできないようになっていることが多いが、管理者が自宅から管理ツールにアクセスする必要がある場合や、遠隔地にある拠点のネットワークを管理しなくてはならない場合には、インターネットからアクセス可能な場所にホストされている場合もある。

ロシアのハッカーはウェブシェルを埋め込み、ほかのシステムを攻撃

　しかしNSAは、これらの条件があるにも関わらず、ロシア政府の支援を受けたハッカーは、VMware Workspace ONEのダッシュボードの認証情報を手に入れている場合、攻撃の手口にこの脆弱性を組み込み、ネットワーク内で移動して、ハッキングされた組織内でのアクセス権を昇格させているケースがあると述べている。

　NSAは、攻撃に関わっているグループの名前を具体的に挙げることはしなかったが、CVE-2020-4006の脆弱性を軽視すべきではないと警告している。

提供：NSA