2014/04/23 更新

OpenSSLの脆弱性(CVE-2014-0160/CVE-2014-0346)によるVMware製品およびVMware社のポータルやWebページへの影響

１．現象

OpenSSLの脆弱性(CVE-2014-0160/CVE-2014-0346)によりvSphereの管理情報(ユーザ情報やパスワードなど)が漏えいします。

２．発生条件

次の条件のすべてに該当する場合に、本現象が発生します。

vSphere 5.5およびその関連製品(５．対象製品に記載された製品)を使用している。
発生条件1.の製品の管理ネットワークにOpenSSLの脆弱性(CVE-2014-0160/CVE-2014-0346)を利用した攻撃が実行される。^※１

※１：vSphere 5.5およびその関連製品の管理ネットワークがインターネットへ接続された環境では、脆弱性を利用した攻撃を受ける可能性が高くなります。

３．回避方法

ありません。

４．対策方法

対策版パッチおよびUpdate適用後、証明書やパスワードの変更などによって対策できます。
詳細は、表1．対策パッチおよび対策バージョンのVMware社公開情報を参照してください。

表１．対策パッチおよび対策バージョン
製品名バージョン	対策パッチおよび対策バージョン	VMware社公開情報
ESXi 5.5 Updateなし	ESXi550-201404420-SG http://kb.vmware.com/kb/2076589	Resolving OpenSSL Heartbleed for ESXi 5.5 - CVE-2014-0160 (2076665) http://kb.vmware.com/kb/2076665
ESXi 5.5 Update1	ESXi550-201404401-SG http://kb.vmware.com/kb/2076121
vCenter Server5.5 Updateなし	vCenter Server 5.5.0c	Resolving OpenSSL Heartbleed for VMware vCenter Server 5.5 (2076692) http://kb.vmware.com/kb/2076692
vCenter Server5.5 Update1	vCenter Server 5.5 Update1a
VMware Horizon View 5.3 Feature Pack 1	VMware View 5.3 Feature Pack 2	VMware Horizon View and the Heartbleed Bug (2076796) http://kb.vmware.com/kb/2076796
VMware Horizon View Client for Windows 2.3.X	View Client 2.3.3
VMware vCloud Networking and Security (vCNS)5.1.3	VMware vCloud Networking and Security5.1.4	vCloud Networking and Security 5.1.4 Release Notes https://www.vmware.com/support/vshield/doc/releasenotes_vshield_514.html
VMware vCloud Networking and Security (vCNS)5.5.1	VMware vCloud Networking and Security5.5.2	vCloud Networking and Security 5.5.2 Release Notes https://www.vmware.com/support/vshield/doc/releasenotes_vshield_552.html

最新状況は、次のVMware社公開情報を参照してください。

Response to OpenSSL security issue CVE-2014-0160/CVE-2014-0346 a.k.a: "Heartbleed" (2076225)
http://kb.vmware.com/kb/2076225

５．対象製品
※2014年4月22日(日本時間)での情報です。
最新の対象製品情報はVMware社公開情報(http://kb.vmware.com/kb/2076225)を参照してください。

表２．対象製品
製品名	バージョン
ESXi	5.5 Updateなし、Update1
vCenter Server	5.5 Updateなし、Update1
VMware Horizon View	5.3 Feature Pack 1
VMware Horizon View Client for Windows	2.3.x
VMware vCloud Networking and Security (vCNS)	5.1.3
VMware vCloud Networking and Security (vCNS)	5.5.1

６．VMware社のポータルやWebページへの影響

VMware社は、OpenSSLの脆弱性(CVE-2014-0160/CVE-2014-0346)によるVMware社が提供するポータルやWebページへの影響について調査しています。
2014/4/22時点でVMware社のポータルやWebページには脆弱性の問題は見つかっていません。
最新状況は次のVMware社公開情報を確認してください。

Impact of OpenSSL security issue CVE-2014-0160/CVE-2014-0346 a.k.a: "Heartbleed" on VMware Customer Portals and web sites (2076353)
http://kb.vmware.com/kb/2076353

７．問い合わせ先

VMwareのサポート契約をご確認の上、日立ソリューションサポートセンタ VMwareサポート窓口にお問い合わせください。

※VMware 社からの情報更新に併せ、本情報発信内容も改訂していく予定です。

製品使用上の注意事項

OpenSSLの脆弱性(CVE-2014-0160/CVE-2014-0346)によるVMware製品およびVMware社のポータルやWebページへの影響