Trusted Design

CVE-2025-41244 の詳細

CVEの情報

説明:
VMware Aria Operations and VMware Tools contain a local privilege escalation vulnerability. A malicious local actor with non-administrative privileges having access to a VM with VMware Tools installed and managed by Aria Operations with SDMP enabled may exploit this vulnerability to escalate privileges to root on the same VM.

CVE更新日: 2025-09-29 17:15:30.843000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2025-10-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.086290000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-41244は、VMware Aria OperationsおよびVMware Toolsに存在するローカル権限昇格の脆弱性です。

1. 脆弱性の概要

1.1 影響

この脆弱性は、悪意のあるローカルの非管理者権限を持つ攻撃者が、VMware Toolsがインストールされ、Aria OperationsによってSDMP (Service Discovery Management Pack) が有効になっている仮想マシン上で、root権限に昇格できるというものです。攻撃者は、書き込み可能なディレクトリ（例：/tmp/httpd）に悪意のあるバイナリを配置することで、VMwareのサービスディスカバリプロセスが悪意のあるコードをroot権限で実行し、完全なrootアクセスを取得する可能性があります。これは、get-versions.shスクリプトにおけるUntrusted Search Pathの脆弱性（CWE-426）に起因します。

1.2 深刻度

CVSSv3ベーススコアは7.8で、「重要 (Important)」または「高 (High)」の深刻度に分類されています。この脆弱性は、不適切な権限定義を許すCWE-267 (Privilege Defined With Unsafe Actions) および不十分な権限または特権の不適切な処理を示すCWE-280 (Improper Handling of Insufficient Permissions or Privileges) として分類されます。この脆弱性はゼロデイとして公表され、中国に紐付けられるAPTグループ「UNC5174」などによって2024年10月から積極的に悪用されていたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下の製品およびバージョンが影響を受けます。 * VMware Aria Operations バージョン 8.18.5 より前のもの * VMware Tools バージョン 13.0.5 および 12.5.4 より前のもの (Windows/Linux版) * ほとんどのLinuxディストリビューションに同梱されているopen-vm-toolsも影響を受けます。 * VMware Cloud Foundation Operations バージョン 9.0.1.0 より前のもの * この脆弱性は、以下の4つの条件がすべて満たされる場合に存在します。 1. VMにVMware Toolsがインストールされていること。 2. VMがVMware Aria Operationsによって管理されていること。 3. SDMP (Service Discovery Management Pack) が有効になっていること。 4. VMへのローカルアクセスがあること。 * Azure VMware Solutionも影響を受けることが確認されています。

2.2 影響を受ける設定

Service Discovery Management Pack (SDMP) が有効になっている場合に影響を受けます。

3. 影響を受けた時の兆候

以下の兆候を監視することで、脆弱性の悪用を検出できる可能性があります。 * vmtoolsd または get-versions.sh からの異常な子プロセスの監視。 * /tmp/VMware-SDMP-Scripts-{UUID}/ 内に残存するスクリプトファイルの確認。

4. 推奨対策

4.1 本対策

  • 速やかにパッチを適用してください。
  • VMware Aria Operationsをバージョン8.18.5または8.18 HF8にアップグレードしてください。
  • VMware Toolsをバージョン13.0.5または12.5.4にアップグレードしてください。
  • VMware Cloud Foundation Operationsをバージョン9.0.1.0にアップグレードしてください。
  • open-vm-toolsについては、各Linuxディストリビューションから提供される更新プログラムを適用してください。
  • ゴールデンイメージ、テンプレート、CI/CDランナーを更新してください。

4.2 暫定回避策（緩和策）

  • 環境内のSDMPパックを無効にすることで、CVE-2025-41244に対する脆弱性を排除できます。
  • ゲストVM上での非管理者シェルアクセスを制限してください。
  • /tmpに対してnoexecなどのセキュリティポリシーを適用してください。
  • BroadcomのセキュリティアドバイザリVMSA-2025-0015では、当初、CVE-2025-41244に対する「ワークアラウンドなし」とされていましたが、SDMPの無効化が代替策として言及されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る