VMware vCenter Serverの脆弱性（CVE-2021-21972）に関する注意喚起

立命館CSIRTより情報セキュリティに関する注意喚起です。
VMwareは複数の製品における脆弱性に関するアドバイザリ（VMSA-2021-0002）を公開しました。
この脆弱性が悪用されると、遠隔の第三者が任意のファイルをアップロードしたり、SYSTEM権限で任意のコマンドを実行したりするなど、情報システムの破壊や情報漏えい等の情報セキュリティ事故につながる危険性があります。
上記脆弱性のうち、VMware vCenter Serverの脆弱性（CVE-2021-21972）については、 JPCERT/CCより対策・回避策が公表されていますので、影響を受ける情報システムを運用している場合、速やかに情報セキュリティ対策を実施してください。

【参考】JPCERT/CC「VMware vCenter Serverの脆弱性（CVE-2021-21972）に関する注意喚起」

対象者

対象システムを運用管理する情報システム設置者および情報システム運用管理者

対象システム

- vCenter Server 7.0系 7.0 U1cより前のバージョン
- vCenter Server 6.7系 6.7 U3lより前のバージョン
- vCenter Server 6.5系 6.5 U3nより前のバージョン
- Cloud Foundation (vCenter Server) 4系 4.2より前のバージョン
- Cloud Foundation (vCenter Server) 3系 3.10.1.2より前のバージョン

対策

本脆弱性を修正したバージョンが公開されていますので、至急バージョンアップを実施してください。
- vCenter Server 7.0系 7.0 U1c
- vCenter Server 6.7系 6.7 U3l
- vCenter Server 6.5系 6.5 U3n
- Cloud Foundation (vCenter Server) 4.2
- Cloud Foundation (vCenter Server) 3.10.1.2

回避策

速やかな対策の実施が難しい場合は、回避策として「VMware vRops Client Pluginを incompatible（非互換）に変更する」対応を実施してください。

回避策の適用によりVMware vRealize Operationsを利用する環境に影響が出るとされていますので、詳細は VMwareが提供する以下の情報を確認してください。
VMware vCenter Server Workaround Instructions for CVE-2021-21972 and CVE-2021-21973 (82374)

なお、本法人では情報システム運用管理者向けのガイドラインを整備しています。
ガイドライン参照のうえ情報システムの適切な運用管理をお願いします。

規程・ガイドライン

• 立命館情報システム運用管理ガイドライン
• 立命館クラウドサービス利用ガイドライン
• 立命館情報セキュリティ事故対応ガイドライン