SecAdvisory

July 2, 2019 FN21

vCenter に関連する中間者攻撃の脆弱性 [CVE-2019-11242]

問題の説明

Cohesity DataPlatform バージョン 5.x および 6.x（6.1.1c より前）に、vCenter アクセスに関連する中間者攻撃の脆弱性が発見されました。Cohesity クラスタは、vCenter から提示された TLS 証明書を検証していませんでした。

影響

この脆弱性により、vCenter にアクセスするために設定された Cohesity ユーザー認証情報が露出する可能性があります。露出は、厳格な TLS 証明書要件を持つ vCenter のみの環境に限定されます。

解決策

脆弱性を修正するため、Cohesity は Cohesity DataPlatform 6.1.1e 以降へのアップグレードを推奨します。 現在リリース 6.1.1c 以降をご利用のお客様はこの問題に対して脆弱ではなく、この通知を無視していただいて構いません。

追加情報:

ソフトウェアのダウンロードはこちらからご利用いただけます: http://downloads.cohesity.com ご質問がある場合は、Cohesity サポートまでお問い合わせください。

email: [email protected]

脆弱性の種類

SSL 証明書検証の欠如

製品のベンダー

Cohesity, Inc

影響を受ける製品コードベース

Cohesity DataPlatform - 影響を受けるバージョンは Cohesity DataPlatform バージョン 5.x、6.x（6.1.1c より前）です。これはバージョン 6.1.1c および 6.2 で修正されています。

影響を受けるコンポーネント

vCenter 通信。

攻撃タイプ

リモート

影響 情報漏洩

True

攻撃ベクトル

この脆弱性を悪用するには、Cohesity クラスタに対して偽造された vCenter TLS 証明書を提示できる必要があります。

ベンダーは脆弱性を確認または承認しましたか？

True

発見者

Cohesity は、この脆弱性を特定し、責任ある開示に参加した Karlsruhe Institute of Technology の研究者 Thorsten Tuellmann 氏の取り組みに感謝の意を表します。