VMware製品へのDirty COW脆弱性の影響情報

## 概要

VMware社からセキュリティアドバイザリ「[VMSA-2016-0018: VMware product updates address local privilege escalation vulnerability in linux kernel](http://www.vmware.com/security/advisories/VMSA-2016-0018.html)」が発行されており、VMware Identity Manager、vRealize Automation、vRealize Operationsが影響を受けるとされている。なおESXiや、vCenter Server Applianceを含む一部仮想アプライアンスなど、影響を受けない製品のリストがナレッジ「[KB 2147515: VMware Response to CVE-2016-5195: ‘Dirty COW’ privilege escalation vulnerability](https://kb.vmware.com/kb/2147515)にある。

## 詳細

VMware製品への影響や対策は、[ナレッジベース](http://kb.vmware.com/)および[セキュリティアドバイザリ](https://www.vmware.com/security/advisories/)で確認する。また[VMware Security & Compliance Blog](http://blogs.vmware.com/security)に情報が掲載されることもある。以下に確認できた範囲で情報をまとめる。

### 背景

2016年10月21日に、CERTのVulnerability Notesに[Vulnerability Note VU#243144 - Linux kernel memory subsystem copy on write mechanism contains a race condition vulnerability](https://www.kb.cert.org/vuls/id/243144)が登録されている。JVNにも「[JVNVU#91983575 Linux カーネルのメモリサブシステムに実装されている copy-on-write 機構に競合状態が発生する脆弱性](https://jvn.jp/vu/JVNVU91983575/)」として掲載されている。この脆弱性はCVE-2016-5195として採番されており、通称[Dirty COW](https://dirtycow.ninja/)としても[知られている](http://japan.zdnet.com/article/35090987/)。

### VMware社からの発信情報

Dirty Cow脆弱性のVMware製品への影響については、VMware社からセキュリティアドバイザリが発行されている。

* [VMSA-2016-0018: VMware product updates address local privilege escalation vulnerability in linux kernel](http://www.vmware.com/security/advisories/VMSA-2016-0018.html)

また対応状況を知らせるナレッジとして以下が出されており、影響を受けないことが確認された製品もまとめられている。

* [KB 2147515: VMware Response to CVE-2016-5195: ‘Dirty COW’ privilege escalation vulnerability](https://kb.vmware.com/kb/2147515)

この他に、本件に対するVMware社のアクションがVMware Security & Compliance Blogに投稿されている。

* [VMSA-2016-0018 - VMware Security & Compliance Blog - VMware Blogs](http://blogs.vmware.com/security/2016/11/1729.html)

### 関連ナレッジの和訳

現在のところ、関連ナレッジの和訳はない。

### 対策

セキュリティアドバイザリ[VMSA-2016-0018](http://www.vmware.com/security/advisories/VMSA-2016-0018.html)に記載がある製品は、これに従って対策を行う。2016年11月22日時点で、以下の製品の仮想アプライアンス版が影響を受けるとされており、修正済みの新版またはパッチの提供が始まっている。

|製品名|版数|対策|
|:-:|:-:|:-:|
|VMware Identity Manager|2.x|2.8版へ更新|
|vRealize Automation|7.x|7.2.0版へ更新|
|vRealize Automation|6.x|6.2.5版へ更新|
|vRealize Operations|6.0.3～6.3.0|6.4.0版へ更新、または[KB:2147630](http://kb.vmware.com/kb/2147630)の適用|
|vRealize Operations|5.x|6.4.0版へ更新|

記載がない製品については、ナレッジ[KB 2147515](https://kb.vmware.com/kb/2147515)で影響確認結果が記載されているかを確認しておきたい。2016年11月9日時点で、以下の製品について記載がある。

* ESXiはCVE-2016-5195の影響を受けない。
* Windowsベース製品（Windows版vCenterを含む）はCVE-2016-5195の影響を受けない。
* Linuxベース製品（たとえばWorkstation）は、ベースとしているLinuxについてOSベンダーの情報を確認することを推奨する。
* 仮想アプライアンスで、CVE-2016-5195の影響が確認された製品は前述のセキュリティアドバイザリに掲載される。
* 仮想アプライアンスのうち、以下の製品は、脆弱性のあるカーネルバージョンを使用していたとしても攻撃経路がないなどの理由で影響がないことが確認されており、通常のメンテナンスアップデートリリース時に更新される。
    * VMware Access Point
    * VMware Hybrid Cloud Manager
    * VMware Infrastructure Navigator
    * VMware NSX
    * VMware vCenter Server Appliance
    * VMware vRealize Log Insight
    * VMware vRealize Orchestrator
    * VMware vSphere Replication

## 参照

本脆弱性の内容。

* [Vulnerability Note VU#243144 - Linux kernel memory subsystem copy on write mechanism contains a race condition vulnerability](https://www.kb.cert.org/vuls/id/243144)
* [JVNVU#91983575 Linux カーネルのメモリサブシステムに実装されている copy-on-write 機構に競合状態が発生する脆弱性](https://jvn.jp/vu/JVNVU91983575/)
* [Linuxカーネルに存在する「Dirty COW」脆弱性--攻撃も確認 - ZDNet Japan](http://japan.zdnet.com/article/35090987/)

VMware社からの発信情報。

* [VMSA-2016-0018: VMware product updates address local privilege escalation vulnerability in linux kernel](http://www.vmware.com/security/advisories/VMSA-2016-0018.html)
* [KB 2147515: VMware Response to CVE-2016-5195: ‘Dirty COW’ privilege escalation vulnerability](https://kb.vmware.com/kb/2147515)
* [KB 2147630: Mware vRealize Operations 6.3 patch to address CVE-2016-5195](http://kb.vmware.com/kb/2147630)
* [VMSA-2016-0018 - VMware Security & Compliance Blog - VMware Blogs](http://blogs.vmware.com/security/2016/11/1729.html)

この他、製品個別に出されたKBがあり、上記VMSA-2016-0018からリンクされている。

VMware社のナレッジやセキュリティアドバイスは、随時更新されるので、適宜、原文を確認されたい。

----

本ページ内容は筆者が参照の便のためにある持点でまとめた個人的なメモです。内容を保証するものではなく、また筆者の所属組織等とは一切かかわりがありません。