VMware vCenterに緊急度の高い脆弱性 PoCは既に公開

VMwareからvCenterやESXiに関するセキュリティアドバイザリが発行された。vCenterに関する脆弱性の深刻度は「緊急」だ。脆弱性のす概念実証（PoC：Proof of Concept）が公開されいることから、今後サイバー攻撃に使われる可能性が高い。

[後藤大地，有限会社オングス]

　VMwareは2021年2月23日（現地時間）、自社サイトにおいて「VMware ESXi」「VMware vCenter Server」「VMware Cloud Foundation」に複数の脆弱（ぜいじゃく）性が存在すると伝えた。

　脆弱性のうち、一つはCVSS（共通脆弱性評価システム）v3のスコアが9.8と、最大値で深刻度は「緊急」（Critical）と評価されている。さらにもう一つの脆弱性も、CVSSv3スコアが8.8で深刻度は「重大」（Important）とされている。

　すでにこれらの脆弱性を利用するための概念実証（PoC：Proof of Concept）および技術詳細が公開されており、今後悪用される可能性が高いと見られている。

VMSA-2021-0002

脆弱性情報のPoCや技術詳細の公開時期はどう決まるのか

　脆弱性の技術詳細やPoCの公開タイミングはケースバイケースで異なる。修正版が提供されてから数カ月ほどの時間を経て公開されるものもあれば、ベンダーの対応やユーザーの対応を促す目的で、すぐに公開されるものもある。

　公開情報はセキュリティ研究に利用されるが、同時にサイバー犯罪者が攻撃する際の資料としての側面も持つ。

脆弱性が発見されたバージョンと修正版の対応状況は