VMware ESXi の認証回避（CVE-2024-37085）― 名前の一致だけで権限を判断していたために、消えたグループを作り直せば通ってしまう

1名前で判断するということ

利用者の管理を外部のディレクトリサービスに任せる構成では、「このグループに属する人は管理者として扱う」という取り決めを置きます。問題は、その対応づけを何によって行うかです。本件では、グループの名前が一致することをもって管理者と判断していたことになります。

ディレクトリサービスの側では、グループを削除して同じ名前で作り直すことができます。人にとっては同じ名前でも、本来は別のものです。名前だけで判断していると、この別物が同じものとして扱われます。

2欠陥の位置

1. 1前提ホストが利用者の管理をディレクトリサービスに任せるよう設定されている
2. 2条件十分なディレクトリサービスの権限を持つこと
3. 3行為設定されていた管理者グループが削除された後、同じ名前で作り直す
4. 4結果当該ホストへの完全なアクセスが得られうる

注目したいのは、これがプログラムの書き方の誤りというより、認証の設計上の前提の問題である点です。区分のCWE-305は、主要な強度の弱い認証、つまり本人性を確かめる方法として十分に強くないものが使われている状態を指します。

3仮想化基盤という位置

仮想化の基盤は、1台のホストの上に多数の仮想機械が載る構造です。ホストを押さえられれば、その上で動いているものがまとめて影響を受けます。当サイトが2026年9月4日時点で保持する記録では、この区分でランサムウェア利用が既知の未解説項目が14件あります。件数としては境界機器や業務基盤より少ない一方、1件あたりの影響範囲は広くなりやすい位置です。

4設計の前提を疑う

更新の適用が対策になるのはもちろんですが、本件が示しているのはもう一段手前の論点です。何をもって同じ主体とみなすのか。名前なのか、変わらない識別子なのか。この選択は多くの仕組みに存在し、選び方によっては同種の取り違えが生じます。