お知らせ
【注意喚起】VMware vCenter Serverの脆弱性について
更新日：2021年3月 1日
令和３年２月２３日（米国時間 、VMwareは複数の製品における脆弱性に関するアドバイザリ
VMSA-2021-0002）を公開しました。脆弱性が悪用された場合、遠隔の第三者が任意のファ
イルをアップロードしたり、 SYSTEM権限で任意のコマンドを実行したりするなどの可能性が
あります。
詳細は、VMwareが提供する情報を御確認ください。
JPCERT/CCは、上記の脆弱性の内、 VMware vCenter Serverの脆弱性（CVE-2021-21972）
について、対象、対策及び回避策を公表しています 。
また、PT SWARMは、本脆弱性を悪用した攻撃手法について公表しています。
本脆弱性の影響を受ける製品を御利用の場合は、下記を参考に対応を実施してください。
１．概要
令和３年２月２３日（米国時間）、VMwareは複数の製品における脆弱性に関するアドバイザリ
VMSA-2021-0002）を公開しました。脆弱性が悪用された場合、遠隔の第三者が任意のファイ
ルをアップロードしたり、SYSTEM権限で任意のコマンドを実行したりするなどの可能性があり
ます。
詳細は、VMwareが提供する情報を確認してください。
VMware
VMSA-2021-0002
https://www.vmware.com/security/advisories/VMSA-2021-0002.html
２．対象
VMware vCenter Serverの脆弱性（ CVE-2021-21972）について、対象となる製品とバージ
ョンは次のとおりです。
・vCenter Server 7.0系 7.0 U1cより前のバージョン
・vCenter Server 6.7系 6.7 U3lより前のバージョン
・vCenter Server 6.5系 6.5 U3nより前のバージョン
・Cloud Foundation (vCenter Server) 4系 4.2より前のバージョン
・Cloud Foundation (vCenter Server) 3系 3.10.1.2より前のバージョン
３．対策
本脆弱性を修正した次のバージョンが公開されています。速やかに修正済みバージョンの適用を
お願いします。
・vCenter Server 7.0系 7.0 U1c
・vCenter Server 6.7系 6.7 U3l
・vCenter Server 6.5系 6.5 U3n
・Cloud Foundation (vCenter Server) 4.2
・Cloud Foundation (vCenter Server) 3.10.1.2
４．回避策
回避策として、次の対応が挙げられています。
・VMware vRops Client Pluginを incompatible（非互換）に変更する
なお、回避策の適用によって、VMware vRealize Operationsを利用する環境に影響が出るとの
ことです。詳細は、VMwareが提供する情報を確認してください。
VMware vCenter Server Workaround Instructions for CVE-2021-21972 and CVE-2021
-21973 (82374)
https://kb.vmware.com/s/article/82374
５．参考情報
・VMware
VMSA-2021-0002
https://www.vmware.com/security/advisories/VMSA-2021-0002.html
・JPCERT/CC
VMware vCenter Serverの脆弱性（ CVE-2021-21972）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210011.html
・PT SWARM
Unauthorized RCE in VMware vCenter
https://swarm.ptsecurity.com/unauth-rce-vmware/
