VMware vCenter Serverの脆弱性CVE-2024-37079について、CISAが悪用を確認した既知悪用脆弱性（KEV）に追加し、Broadcomもサイバー攻撃への悪用発生している可能性を示しました。vCenterは仮想基盤の管理中枢にあたるため、未対策のまま放置すると基盤全体の乗っ取りにつながり得ます。
脆弱性の概要
CVE-2024-37079は、vCenter ServerのDCE/RPC（DCERPC）実装に起因するヒープオーバーフロー／境界外書き込みの問題で、ネットワーク到達可能な攻撃者が細工したパケットを送ることで、リモートコード実行（RCE）に至る可能性があります。深刻度はCVSS 9.8（Critical）です。
対象バージョン
影響があるとされているのは、少なくとも以下の系統です。
-
VMware vCenter Server 8.0
-
VMware vCenter Server 7.0
-
VMware Cloud Foundation 5.x
-
VMware Cloud Foundation 4.x
対策バージョン
修正プログラムは2024年6月に提供済みで、vCenter Serverは以下の更新が修正対象として提示されています（Cloud FoundationはKB指定）。
-
vCenter Server 8.0 U2d
-
vCenter Server 8.0 U1e
-
vCenter Server 7.0 U3r
-
Cloud Foundation KB88287
回避策はあるか
Broadcomは、製品内の回避策は現実的ではないとしており、実質的に更新適用が前提です。
関連記事
VMwareのvCenterで重大な脆弱性のパッチがリリース 今すぐ適用を（CVE-2024-37079、CVE-2024-37080、CVE-2024-37081）
Broadcom（VMware）で複数の脆弱性(CVE-2025-41244,41245,41246)
VMwareが深刻度が高い脆弱性に緊急パッチを公開-Cloud FoundationおよびvCenterなどに深刻なリスク(VMSA-2025-0009,VMSA-2025-0010)
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
トロイの木馬化された「jQuery」がnpmやGitHubで拡散
VMware Aria AutomationのSQLインジェクションの脆弱性を修正（CVE-2024-22280）
VMware ESXiの脆弱性をランサムウェア 攻撃グループが悪用（CVE-2024-37085）
MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開
東芝の複合機「e-STUDIO」の複数のシリーズで脆弱性
