VMware製品へのShellshockの影響情報

## 概要

VMware社からセキュリティアドバイザリ「[VMSA-2014-0010.7 VMware product updates address critical Bash security vulnerabilities](http://www.vmware.com/security/advisories/VMSA-2014-0010.html)」が発行されており、影響のある製品およびバージョンがまとめられている。使用している製品が影響を受ける場合、問題のないバージョンへの入れ替えないしパッチ適用を行う。

## 詳細

VMware製品への影響は、関連ナレッジおよびセキュリティ･アドバイザリで確認する。以下に筆者の確認した範囲でリンク等をまとめる。

### 背景

2014年9月25日に、JPCERTから「[GNU bash の脆弱性に関する注意喚起](https://www.jpcert.or.jp/at/2014/at140037.html)」が発行されている。この問題は、「Shellshock」（および、初期には「Bashバグ」）の通称でも情報が広まっている。

### VMware社からの発信情報

ShellshockのVMware製品への影響については、VMware社から(1)VMware社製品に関する影響調査状況のナレッジ、(2)VMware社Webサイトおよびサービスに関する影響調査状況のナレッジ、(3)本脆弱性についてのセキュリティ・アドバイザリが出されている。

1. [VMware KB: VMware remediation of Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278, aka "Shellshock") (2090740)](http://kb.vmware.com/kb/2090740)
2. [VMware KB: Impact of bash code injection vulnerability on VMware Customer Portals and web sites (CVE-2014-6271 and CVE-2014-7169, aka "shellshock") (2090817)](http://kb.vmware.com/kb/2090817)
3. [VMSA-2014-0010.7 VMware product updates address critical Bash security vulnerabilities](http://www.vmware.com/security/advisories/VMSA-2014-0010.html)

影響の有無、および対応方法（パッチリリースの有無など）は上記のナレッジおよびセキュリティ・アドバイザリを確認すればよい。ナレッジおよびセキュリティアドバイザリは随時更新されるので、確認時には何月何日時点の情報であったかも押さえておき、定期的に再確認することをお勧めする。

### 関連ナレッジの和訳

KB 2090740およびKB 2090817については、それぞれKB 2090848およびKB 2090874で和訳が公開されている。ただし訳文は原文に比べて、情報更新が遅れることがしばしばあるので注意すること。

* [VMware KB: 特別に作成された環境変数を通じてBashコードを挿入する脆弱性に関する VMwareの評価 (CVE-2014-6271 CVE-2014-7169、別名："Shellshock") (2090848)](http://kb.vmware.com/kb/2090848)
* [VMware KB: VMwareカスタマーポータルとウエブサイトにおけるBashコードを挿入する脆弱性の影響 (CVE-2014-6271 CVE-2014-7169, 別名： "Shellshock") (2090874)](http://kb.vmware.com/kb/2090874)

### 対策

セキュリティアドバイザリでは、「3. Problem Description」で以下を求めている。

> VMware recommends customers evaluate and deploy patches for affected products in Table 1 and 2 below as these patches become available.

以下を行えばよいと思われる。

1. セキュリティアドバイザリのTable-1、Table-2を参照し、使用しているVMware ProductおよびProduct Versionの行を確認する。
2. Replace with/Apply Patchの列で、問題に対応したバージョンないしパッチが提示されていれば、これを適用する。

該当製品を使用していた場合、「4. Solution」で製品ごとの情報へのリンクがまとめられているので、こちらも確認する。

## 参照

本脆弱性の内容。

* [GNU bash の脆弱性に関する注意喚起 - JPCERT](https://www.jpcert.or.jp/at/2014/at140037.html)

VMware社からの発信情報。

* [VMware KB: VMware remediation of Bash Code Injection Vulnerability via Specially Crafted Environment Variables (CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278, aka "Shellshock") (2090740)](http://kb.vmware.com/kb/2090740)
* [VMware KB: Impact of bash code injection vulnerability on VMware Customer Portals and web sites (CVE-2014-6271 and CVE-2014-7169, aka "shellshock") (2090817)](http://kb.vmware.com/kb/2090817)
* [VMSA-2014-0010.7 VMware product updates address critical Bash security vulnerabilities](http://www.vmware.com/security/advisories/VMSA-2014-0010.html)
* [VMware KB: 特別に作成された環境変数を通じてBashコードを挿入する脆弱性に関する VMwareの評価 (CVE-2014-6271 CVE-2014-7169、別名："Shellshock") (2090848)](http://kb.vmware.com/kb/2090848)
* [VMware KB: VMwareカスタマーポータルとウエブサイトにおけるBashコードを挿入する脆弱性の影響 (CVE-2014-6271 CVE-2014-7169, 別名： "Shellshock") (2090874)](http://kb.vmware.com/kb/2090874)

VMware社のナレッジやセキュリティアドバイスは、随時更新されるので、適宜、原文を確認されたい。

----

本ページ内容は筆者が参照の便のためにある持点でまとめた個人的なメモです。内容を保証するものではなく、また筆者の所属組織等とは一切かかわりがありません。