セキュリティに関する情報

Google Cloud VMware Engine に関連するセキュリティ情報は随時公開されます。ここには、VMware Engine に関するすべてのセキュリティ情報が記載されています。

このページのセキュリティに関する公開情報を定期的に受け取るには、こちらの XML フィードを使用してください。登録

GCP-2023-034

公開日: 2023 年 10 月 25 日

最終更新日: 2023 年 10 月 27 日

説明 重大度 メモ

VMware は、VMSA-2023-0023 でお客様の環境にデプロイされた vCenter コンポーネントに影響する複数の脆弱性が開示されました。

Google Cloud VMware Engine への影響

  • この脆弱性は、vCenter Server の特定のポートにアクセスすることで悪用される可能性があります。これらのポートは公共のインターネットに公開されません。
  • vCenter ポート 2012/tcp、2014/tcp、2020/tcp に信頼されないシステムからアクセスできない場合、この脆弱性にさらされることはありません。
  • Google では、すでに vCenter Server の脆弱なポートをブロックしており、この脆弱性が悪用される可能性を防いでいます。
  • さらに、Google は今後 vCenter Server のすべてのデプロイがこの脆弱性にさらされないようにします。
  • この情報の時点では、VMware は「実際」の悪用については認識していません。 詳細については、VMware のドキュメントをご覧ください。

必要な対策

現時点ではこれ以上のご対応は必要ございません。

重大

GCP-2023-027

公開日: 2023-09-11
説明 重大度

VMware vCenter Server の更新により、メモリ破損に関する複数の脆弱性(CVE-2023-20892、CVE-2023-20893、CVE-2023-20894、CVE-2023-20895、CVE-2023-20896)に対処

VMware Engine への影響

VMware vCenter Server(vCenter Server)と VMware Cloud Foundation(Cloud Foundation)。

必要な対策

お客様には影響がないため、ご対応は不要です。

GCP-2023-025

公開日: 2023-08-08
説明 重大度

Intel は最近、プロセッサ ファミリーの一部に影響する Intel Security Advisory INTEL-SA-00828 を発表しました。アドバイザリに基づいてリスクを評価することをおすすめします。

VMware Engine への影響

Google のフリートは、影響を受けるプロセッサ ファミリーを利用しています。Google のデプロイモデルではサーバー全体が 1 人のユーザー専用であるため、この脆弱性の評価で追加のリスクは発生しません。

Google はパートナーと協力して必要なパッチを入手しており、今後数週間のうちに標準のアップグレード プロセスを使用して、これらのパッチをフリート全体に優先的にデプロイする予定です。

必要な対策

影響を受けるすべてのシステムを Google がアップグレードするため、お客様側での対応は不要です。

GCP-2021-023

公開日: 2021 年 9 月 21 日
説明 重大度 メモ

VMware セキュリティ アドバイザリ VMSA-2021-0020 によると、vCenter に関して複数の脆弱性が報告されました。VMware では、影響を受ける VMware 製品の脆弱性修正のため、アップデートを行いました。

Google では、vSphere スタック用に VMware から提供されたパッチを VMware セキュリティ アドバイザリに従って Google Cloud VMware Engine に適用しました。このアップデートは、CVE-2021-22005、CVE-2021-22006、CVE-2021-22007、CVE-2021-22008、CVE-2021-22010 のセキュリティ脆弱性に対応しています。その他の重要ではないセキュリティ問題については、今後の VMware スタックのアップグレードで対処する予定です(7 月にお送りしたお知らせに、アップグレードの具体的なタイムラインが記載されています)。

VMware Engine への影響

調査の結果、影響を受けたお客様は見つかりませんでした。

必要な対策

VMware Engine クラスタはこの脆弱性の影響を受けないため、これ以上の対処は必要ありません。

重大

GCP-2021-010

公開日: 2021 年 5 月 25 日
説明 重大度

VMware セキュリティ アドバイザリ VMSA-2021-0010 によると、vSphere Client(HTML5)のリモートコード実行と認証バイパスに関する脆弱性が VMware に非公開で報告されました。VMware は、影響を受ける VMware 製品の脆弱性の修正のためにアップデートを作成しました。

Google では、VMware セキュリティ アドバイザリに従い、vSphere スタック用に VMware が提供するパッチを適用しました。このアップデートは、CVE-2021-21985、CVE-2021-21986 に記載されているセキュリティ上の脆弱性に対応しています。現時点で、VMware Engine プライベート クラウドで実行されているイメージ バージョンには、パッチが適用済みであることを示す変更は反映されていません。適切なパッチがインストールされ、お客様の環境はこれらの脆弱性から保護されていますので、ご安心ください。

VMware Engine への影響

調査の結果、影響を受けたお客様は見つかりませんでした。

必要な対策

VMware Engine クラスタはこの脆弱性の影響を受けないため、これ以上の対処は必要ありません。

重大

GCP-2021-002

公開日: 2021 年 3 月 5 日
説明 重大度

VMware セキュリティ アドバイザリ VMSA-2021-0002 によると、VMware は、VMware ESXi と vSphere クライアント(HTML5)に複数の脆弱性に関する報告を受けました。VMware は、影響を受ける VMware 製品の脆弱性の修正のためにアップデートを行いました。

Google では、VMware セキュリティ アドバイザリに従い、公式のドキュメントに記載されている回避策を vSphere スタックに適用しました。このアップデートは、CVE-2021-21972、CVE-2021-21973、CVE-2021-21974 に記載されている脆弱性に対応しています。

VMware Engine への影響

調査の結果、影響を受けたお客様は見つかりませんでした。

必要な対策

VMware Engine クラスタはこの脆弱性の影響を受けないため、これ以上の対処は必要ありません。

重大