ニュース

「VMware Tools」にSAMLトークン署名バイパスの脆弱性

対策版への更新を

2023年9月12日 10:05

セキュリティアドバイザリ「VMSA-2023-0019」

　米VMwareは8月31日（現地時間）、セキュリティアドバイザリ「VMSA-2023-0019」を公開した。Windows/Linux版「VMware Tools」にSAMLトークン署名バイパスの脆弱性（CVE-2023-20900）があるとのことで、対策バージョンがリリースされている。

　「VMware Tools」はホストOSとシームレスに連携したり、パフォーマンスを改善するためにゲストOSへインストールするサービスとモジュールのセット。「VMware Workstation」などで作成した仮想マシンに導入するものだ。

　今回修正された脆弱性の評価は、CVSSv3の基本値で「7.5」（Important）。ターゲット仮想マシンでゲスト操作権限があり、さらに特権のあるゲストエイリアスが割り当てられている場合、悪意があればその権限を昇格させることができる可能性があるという。対策のために、以下のバージョンへのアップデートが必要だ。

  • Windows版「VMware Tools」：12.3.0
  • Linux版「VMware Tools」（古いLinuxリリースのみに適用）：10.3.26
  • Linux版「VMware Tools」（open-vm-tools）：12.3.0